「EC-CUBE」の公式決済プラグインに緊急脆弱性 - すでに悪用も

「EC-CUBE」の公式決済プラグイン「AmazonPayプラグイン」に脆弱性が明らかとなった。脆弱性を悪用した攻撃が確認されており、早急に対策を講じるよう呼びかけられている。

開発元であるイーシーキューブは2026年10月14日にアドバイザリを公開。脆弱性「CVE-2026-103671」について明らかにした。同日、脆弱性情報のポータルサイトであるJVNにおいても緊急対応が求められる脆弱性として情報が公開されている。

「CVE-2026-103671」は、「EC-CUBE 4」向けに提供されている「AmazonPayプラグイン」に判明したリダイレクト処理に関する脆弱性。

変更されないことを前提としたウェブパラメータを外部から制御でき、注文手続き中に任意のウェブサイトへリダイレクトさせられ、アカウント情報などを窃取されるおそれがあるという。

イーシーキューブでは、緊急度を「高（High）」と評価。すでに脆弱性を悪用した攻撃が確認されている。JVNにおける共通脆弱性評価システム「CVSSv4.0」のベーススコアは「5.3」、「CVSSv3.0」は「4.7」とされる。

イーシーキューブから報告を受けたJPCERT/CCが公表に向けた調整を実施。最新版へのアップデートが呼びかけられている。「CV1対応版」の「同1.2.9」以前のバージョンについては、最新版となる「同1.3.1」へ更新できないとし、「CV2対応版」への移行が強く推奨されている。

（Security NEXT - 2026/10/14 ）ツイート