EC-CUBEのAmazonPayプラグインの脆弱性（CVE-2026-103671）

2026年10月14日、ネットショップを作る仕組み「EC-CUBE」の4系で使う「AmazonPayプラグイン」に脆弱性（CVE-2026-103671）があると、JVN で公表されました。 悪用されると、ショップの利用者が注文手続きの途中で任意のサイトへ移され、その結果アカウント情報などを盗まれるおそれがあります（JVN の発表）。 JVN は「開発者によると、本脆弱性を悪用した攻撃が既に確認されています」としています。EC-CUBE で Amazon Pay を使うネットショップに関係します。

公表された内容

• 対象：EC-CUBE 4系用の AmazonPay プラグイン
  • AmazonPay V2 プラグイン：EC-CUBE 4.0／4.1系向けの v1.0.0〜v1.1.12、4.2／4.3系向けの v4.2.0〜v4.3.1（v4.3.1 は EC-CUBE に同梱された版を含む）
  • AmazonPay プラグイン（V1）：EC-CUBE 4.0系向けの v1.3.0 以前
• 脆弱性の種類：不変と想定している Web パラメータの外部制御（CWE-472）
• CVSS：v4.0 で基本値 5.3、v3.0 で基本値 4.7（JVN の値）。数値は高くないものの、悪用が確認されているため優先して対応したい脆弱性です
• 悪用：開発者によると、悪用した攻撃がすでに確認されています（JVN の発表）
• 対策：開発者（株式会社イーシーキューブ）が出す情報に沿ってパッチを当てる。修正した版の番号は、JVN の発表には書かれていません
• 公表の経緯：開発者が JPCERT/CC に報告し、JPCERT/CC が調整して公表されました

中小企業が今日からできること

• 使っているプラグインと版を確かめる：EC-CUBE の管理画面のプラグインの一覧で、AmazonPay（V1／V2）のプラグインの有無と版を見る。制作会社や保守の会社に任せている場合は、対象かどうかを問い合わせる
• パッチを当てる：対象なら、EC-CUBE の公式サイトの案内に沿って修正版を当てる。すぐ当てられないときは、保守の会社と、いつ当てるかと当てるまでの対応を決める
• 注文の手続きを試す：パッチを当てたあと、Amazon Pay での注文の流れを自分で試し、ほかのサイトへ移されないことと、決済が通ることを確かめる
• お客さまからの問い合わせを見直す：「注文の途中で見慣れない画面に移った」「ログイン情報を求められた」といった問い合わせがここ数週間に来ていないかを確かめる
• プラグインの更新の担当を決める：本体だけでなく、決済や外部サービスのプラグインの更新の知らせを誰が見て、誰が当てるかを決めておく