「EC-CUBE」に多要素認証を回避される脆弱性 - 修正パッチを公開

イーシーキューブが提供するeコマースプラットフォーム「EC-CUBE」において、多要素認証（MFA）を回避される脆弱性が明らかとなった。アップデートが提供されている。

脆弱性を悪用するには、管理者権限の認証情報が必要となるが、二要素認証をバイパスし、管理画面へログインすることが可能となる脆弱性「CVE-2026-30777」が確認された。

管理者のIDやパスワードが第三者に入手された場合、設定の変更や商品情報の改ざんなど不正操作につながるおそれがある。2026年3月5日の時点で脆弱性の悪用による被害などは確認されていない。

「EC-CUBE 4.3」「同4.2」「同4.1」に影響があり、同社では危険度を「中」とレーティング。共通脆弱性評価システム「CVSSv4.0」のベーススコアは「6.9」、「CVSSv3.0」では「4.9」と評価されている。

同社では、利用者向けに修正ファイルを公開。また修正ファイルにある差分を適用することで脆弱性を解消することができるとしており、利用者に対応を呼びかけている。

（Security NEXT - 2026/03/06 ）ツイート