EC-CUBEに、二要素認証を回避して管理画面に入られるおそれ（CVE-2026-30777）

何が起きたか

「EC-CUBE」は、国内のネットショップで広く使われているオープンソースのECサイト構築システムです。管理画面へのログインを強化するため、ID・パスワードに加えて二要素認証（多要素認証）を設定できる機能がありますが、この機能に「CVE-2026-30777」という管理番号がつけられた不具合が見つかりました。

JVN（Japan Vulnerability Notes）の公表によると、この不具合は「代替パスまたは代替チャネルを使用した認証回避」（CWE-288）に分類されるもので、管理者の正しいID・パスワードを既に入手している攻撃者が、別の経路を使って二要素認証の手続きを経ずに管理画面へのログインを完了できてしまうという内容です。深刻さを表す点数（CVSS）は、v3.0で4.9、v4.0で6.9とされ、いずれも中程度の評価です。この脆弱性は、EC-CUBE社自身がJPCERT/CCに報告し、情報セキュリティ早期警戒パートナーシップの枠組みで調整・公表されました。

重要な点として、この不具合だけでは管理画面に入ることはできません。攻撃者がID・パスワードを何らかの方法（使い回しの流出、フィッシングなど）で既に入手していることが前提です。言い換えると、二要素認証を設定していても「ID・パスワードが漏れていれば、最後の壁も破られてしまう場合がある」という不具合です。二重ロックのうち最初の鍵（ID・パスワード）を盗まれてしまえば、二番目の警備チェックは裏道で素通りされてしまう、とイメージすると分かりやすいでしょう。

誰に関係するか

次の条件に当てはまるサイトが対象です。

• ECサイト構築システム「EC-CUBE」を使っている
• EC-CUBE のバージョンが、4.1系は 4.1.2-p5より前、4.2系は 4.2.3-p2より前、4.3系は 4.3.1-p1より前である

自社のECサイトがEC-CUBEで作られているかどうかが分からない場合は、制作時の契約書やサイト制作会社への確認が必要です。なお、本件は同社の公式「Amazon Payプラグイン」の脆弱性（2026年10月公表、別記事で解説）とは異なる、EC-CUBE本体の不具合です。

何をすべきか

1. 利用しているバージョンを確認する

自社のECサイトがEC-CUBEで構築されている場合、制作会社・保守会社にバージョンを確認してもらいます。分からない場合は、HEIMVAIL の無料チェックで作れる依頼文を使って依頼してください。

2. 対象なら修正パッチを適用する

バージョンが対象であれば、EC-CUBE公式サイトで案内されている修正パッチの適用を、制作会社・保守会社に依頼してください。

3. 管理者アカウントのID・パスワード管理を見直す

この不具合は「ID・パスワードが漏れていること」が前提になるため、教材「パスワード管理の基本」を参考に、管理者アカウントのパスワードが他のサービスと使い回しになっていないかもあわせて確認することをおすすめします。裏口をふさぐパッチと同時に、最初の鍵そのものを厳重に管理することが、二重の守りを本当の意味で機能させるポイントです。

よくある質問

自分のサイトは影響を受けますか？

ECサイト構築システム「EC-CUBE」を使っていて、バージョンが 4.1系は4.1.2-p5より前、4.2系は4.2.3-p2より前、4.3系は4.3.1-p1より前の場合に影響を受けるおそれがあります。利用中のバージョンは制作会社・保守会社に確認してください。

この不具合は、ID・パスワードを知られていなくても悪用されますか？

いいえ。この不具合は、攻撃者が管理者の正しいIDとパスワードを何らかの方法で既に入手していることが前提です。つまり、二要素認証（多要素認証）さえ設定していれば安全、というわけではなく、ID・パスワードそのものの管理も合わせて重要になります。

何をすればいいですか？

利用しているEC-CUBEのバージョンが対象であれば、開発元が提供する修正パッチの適用を制作会社・保守会社に依頼してください。あわせて、管理者アカウントのパスワードが他のサービスと使い回しになっていないかも確認しましょう。

参考にした公開情報

• JVN#63765888：EC-CUBEにおける認証回避の脆弱性（JPCERT/CC・IPA）
• ScanNetSecurity：報道記事

この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。