セキュリティ診断 for EC-CUBE 4.0/4.1

PHP2Shellに関する注意表示、不審なPHPファイルの検出、管理画面の設定チェック。ショップのセキュリティを管理画面から調べ、対処が必要な項目を一覧で確認できます。

アップロード先にあるPHPファイルや、画像の拡張子でもPHPコードを含むファイル、公開フォルダに残ったバックアップなども調べます。ファイル名と検出理由が分かるので、使っているファイルか、退避が必要かを担当者と確認できます。

セキュリティの主な確認項目

• PHP2Shellに関するPHPバージョンの照合と注意表示
• PHPシェル・Webシェルが疑われるファイルやコードの特徴を検出
• アップロード先のPHP、画像ファイルに含まれるPHPコードを確認
• 公開フォルダに残ったデータベースのバックアップや圧縮ファイルを確認
• 管理画面URL・ログインID・デバッグモードなどの設定を確認
• EC-CUBE・プラグイン・ライブラリを登録済みの脆弱性情報と照合
• 対象ファイルを暗号化して保存し、公開フォルダから退避。必要に応じて元の場所へ復元

診断結果は状態ごとに絞り込み、過去の結果と比較したり、HTMLレポートに保存したりできます。SEOの設定や画像の容量も、あわせて確認できます。

診断では設定とファイルを読み取り、結果を保存します。ファイルの退避は、対象と処理内容を確認してから実行する操作です。

ご利用ガイド 保存先の設定(サーバー担当者向け)

2026年10月公表のPHPの重大な脆弱性を確認

PHP2Shellに関する確認項目を備えています。対象は、2026年10月21日にPHP公式から公表された、外部からコードを実行されるおそれのある脆弱性(CVE-2026-109618 / CVE-2026-109619)です。

使用中のPHPバージョンを、プラグインに登録した修正版の情報と照合します。更新や提供元への確認が必要な環境には注意を表示し、現在のPHPと対処方法を案内します。

診断前でも、管理画面を開くと通知

PHPの注意表示は、診断を始める前の管理画面にも出ます。結果の「詳細」「対応方法を見る」には、EC-CUBE 4.3への移行手順や、移行用バックアップを作るプラグインへのリンクを表示します。

ホスティング会社が独自にPHPの修正を適用している場合は、通知のバージョンとあわせて提供元へ適用状況をお問い合わせください。PHPの更新やサイトの移行は、担当者と進めます。

PHPのサポート終了と、EC-CUBEの更新情報

サポートが終了したPHPの使用や、EC-CUBE・プラグイン・ライブラリの既知の脆弱性も確認します。プラグインに登録された情報と照合し、対象のバージョンや公式情報へのリンクを結果に表示します。

管理画面の設定もあわせて確認

推測されやすい管理画面URLや「admin」というログインIDの使用、デバッグモード、HTTPS、IP制限などを確認します。現在の値と対処方法を見ながら、どの設定を見直すか担当者と相談できます。

参考:PHP公式のセキュリティ情報(2026年10月21日)

画像の保存先やアップロード先にあるPHPを確認

PHPシェル・Webシェルなどの不審なファイルを調べるため、アップロード先のPHPファイルやPHPの記述を含むファイルを確認します。拡張子が画像でも、内容にPHPコードが含まれる場合は検出の対象になります。

実行処理・難読化・外部入力の組み合わせを検出

コードの実行、読みにくく加工された処理、外部から受け取った値の利用など、複数の特徴を組み合わせて不審なコードを探します。ファイルを実行せず、内容を読み取って調べます。

結果にはファイル名と検出理由が残ります。検出されたファイルが必ず不正とは限らないため、担当者が内容や用途を確かめてから対応してください。

情報漏えいにつながる置き忘れファイルも確認

公開フォルダに残ったデータベースのバックアップやZIPファイル、動作確認用のファイルなどを確認します。作業後に置いたままのファイルを見直すときにも使えます。実際に外部から取得できるかどうかは、サーバーの公開設定をあわせて確認してください。

調べたフォルダやスキップした件数は「診断範囲」で見られます。ファイルの容量や読み取り権限などで調べられなかった範囲も、結果とあわせて確認できます。

処理内容を読んでから退避

退避できる項目には、「詳細」の中に「修正内容を確認」が表示されます。対象ファイルと処理内容を読み、確認欄にチェックを入れてから「バックアップして修正」を実行します。

退避は、元のファイルを暗号化して保存し、公開フォルダから取り除く操作です。アップロード先のPHPや、公開フォルダにあるバックアップ・圧縮ファイルの一部が対象です。

処理の履歴を残す

「対応履歴」には、処理したファイルと結果が残ります。途中で止まった処理は、履歴から状態を確認できます。

必要なファイルを元に戻す

退避したファイルを戻す場合は、対応履歴の「復元内容」から進めます。戻すファイル名と場所を確認して「復元する」を押します。戻す場所にすでにファイルがある場合は、上書きせずに処理を止めます。

不審と判定されたファイルも元に戻るため、復元する前に担当者へ用途を確かめてください。不審なファイルが見つかった場合は、置かれた経緯やほかのファイルへの影響も調べてもらってください。

ページ管理のSEO設定

トップ・商品一覧・商品詳細のページ名や説明文、検索結果への表示を制限する設定(noindex)を確認します。robots.txtの設定も確認でき、登録内容の見直しに使えます。

容量の大きい画像を確認

画像のファイルサイズと縦横の大きさを調べます。容量の大きいPNG・JPEGには、圧縮やWebPへの変換などを案内します。どの画像から見直すか、ファイル名と容量を見ながら決められます。

SEOは登録された設定を調べる機能です。公開HTMLや検索順位の調査は含みません。設定の変更や画像の圧縮・変換は、担当者が表示や画質を確かめながら行ってください。

状態ごとに内容を確認

一覧には「確認項目」「現在値」「状態」「対応」「操作」が表示されます。「重大」「要対応」の項目から内容を読み、対処を進められます。「未確認」は、必要な情報を読み取れないなどの理由で判定できなかった項目です。

「分類」でセキュリティ・SEO・画像を選び、「状態」と組み合わせて絞り込めます。結果は1ページ50件ずつ表示します。状態ごとの件数、絞り込み、レポート出力は、いま開いているページ内の結果が対象です。

前回の結果と比べる

「履歴・設定」で異なる2回の診断を選び、新しく検出された項目や内容が変わった項目を比べられます。設定の見直しやファイル整理の前後を確認するときに使えます。

担当者へ結果を伝える

「レポート出力」で、表示中の結果をHTMLファイルに保存できます。セキュリティ項目の「詳細」にある「対応内容をコピー」も、担当者への相談に使えます。

一時除外と履歴の整理

「一時除外」ボタンがある項目には、変更を保留する理由と期限を残せます。期間は1・7・14・30日から選びます。診断履歴の削除も管理画面から行えます。対応履歴と復元用データは残ります。

結果は診断した時点のものです。「問題なし」は今回調べた項目についての結果で、ショップ全体の安全を保証する表示ではありません。

導入の流れ

• プラグインをインストールして有効にします。
• システム管理者のアカウントでログインし、「セキュリティ診断 → 診断」を開きます。
• 「新しく診断する」を押し、完了するまで画面を開いておきます。
• 結果の「詳細」から、指摘された理由と対処方法を読みます。

途中で止めるときは「一時停止」、続けるときは「再開」を押します。ブラウザを閉じた場合も、同じ画面を開いて再開できます。

よくある質問

Q. PHP2Shellが悪用されたかどうかも分かりますか?
A. PHP2Shellの項目は、使用中のPHPバージョンと修正版の情報を照合します。侵入されたかどうかの調査は担当者へ依頼してください。ファイルの診断では、不審なPHPコードなどを別の確認項目として調べます。

Q. PHP2Shellの脆弱性そのものを修正できますか?
A. このプラグインは、注意が必要なPHPの確認と対処方法の案内を行います。PHPの更新や提供元による修正の適用は、サーバー担当者・ホスティング会社へ依頼してください。

Q. 不審なファイルが見つかったら、どうすればよいですか?
A. 「詳細」でファイル名と検出理由を読み、必要なファイルか担当者に確かめてください。退避できる項目は、元の内容を保存してから公開フォルダから取り除けます。あわせて、ファイルが置かれた経緯やほかのファイルへの影響も調べてもらってください。

Q. 診断を始めるための設定は必要ですか?
A. 有効化後、そのまま診断できます。ファイルの退避も使う場合は、「履歴・設定」で保存先が「利用可能」になっているか確認してください。

Q. すべての指摘をプラグインで直せますか?
A. プラグインで行えるのは、対象ファイルの退避・復元です。PHPやEC-CUBEの更新、管理画面の設定変更、SEOの調整、画像の圧縮・変換は、サイトの担当者へ依頼してください。

Q. 「修正内容を確認」が出ません。
A. 担当者が変更する項目には表示されません。ファイルの退避でも、保存先や権限などの準備が必要な場合があります。「詳細」に表示された理由を担当者へ伝えてください。

Q. 「バックアップして修正」で何が保存されますか?
A. 今回退避するファイルの元の内容を保存します。データベースやショップ全体をまとめて保存する機能ではありません。

Q. 商品や画像が多いショップでも使えますか?
A. ファイルを少しずつ読み進める仕組みです。所要時間はファイル数や容量、サーバー環境によって変わります。完了後は「診断範囲」もあわせてご覧ください。

Q. PHPを更新したのに通知が出ます。
A. ショップの動作に使うPHPと、コマンド実行用のPHPが別の場合があります。通知に出ているバージョンをホスティング会社へ伝え、ショップ側にも更新が反映されているかお問い合わせください。

Q. EC-CUBE 4.1でも使えますか?
A. EC-CUBE 4.1.2-p5・PHP 7.4.33で、診断・結果表示・レポート出力などの基本操作を確認しています。EC-CUBE 4.0.6-p5でも確認しています。