Shopifyの情報漏洩対策｜PHP脆弱性を受けてストア管理者が今すべきこと

2026年10月21日、PHPで深刻度9.2／10の重大な脆弱性の詳細と修正版が公表されました。Shopifyで店を運営する方は、「自分のストアでも情報が漏れるのか」「今、何を調べればよいのか」と気になるかもしれません。今回の公表は、Shopifyストアで情報漏洩が起きたという発表ではありません。

この記事では、ShopifyでECサイトを運営するオーナーやスタッフに向けて、今回のPHP脆弱性や最近のセキュリティ事故が自分のShopifyストアに関係するのか、今どのような対策が必要なのかを説明します。直近では、外部アプリが攻撃され、一部ストアで購入者が偽の購入画面へ誘導された可能性があると、提供元が報告しています。Shopifyが対応する範囲と、アプリ提供元や制作会社に確認・依頼することを分けて、店舗で今できる対策を紹介します。

PHPの脆弱性は、Shopifyを使う店のどこに関係するか

PHPはWebサービスを動かすプログラミング言語の一つです。今回の脆弱性があるサーバーでは、条件がそろうと、ログインしていない攻撃者がプログラムを動かせます。攻撃を受けたサーバーが注文や顧客の情報などを扱っていれば、その情報を読み取られたり、処理を変えられたりするおそれがあります。PHP公式は10月20日に事前告知し、21日に修正版を公開しました。PHPの公式発表

店舗への影響は、利用中の外部アプリや独自システムが今回の脆弱性の影響を受けるPHPサーバーを使っているか、そのサーバーに修正が反映されたかで変わります。管理画面だけでは分からないサーバーの構成や更新状況は、アプリ提供元や保守担当に尋ねる必要があります。

Shopifyと外部アプリでは管理・保守の責任範囲が違う

Shopifyが管理する標準基盤はShopifyが更新します。店舗が追加した外部アプリのコードや、アプリ提供元のサーバーは提供元が修正します。自社の独自システムや制作会社が管理するサーバーは、それぞれの保守担当が更新します。Shopifyの基盤を更新しても、外部サーバーまで自動的に更新されるわけではありません。店舗では利用中のアプリや独自システムを把握し、それぞれの更新状況を誰に聞けるか整理する必要があります。

外部アプリのサーバーで問題が起きた場合、ストアへの影響はアプリに与えた権限にも左右されます。たとえば、注文連携アプリの提供元がサーバーで処理を行い、Shopifyへの接続情報を保管していたとします。仮にそのサーバーが侵害され、接続情報を悪用されれば、攻撃者はそのアプリに許可された範囲で注文や顧客情報へアクセスする可能性があります。Shopify本体への侵入ではなく、アプリに与えた権限を使う経路です。外部アプリ経由の被害に備えるには、店舗側で許可した権限を見直し、提供元にはサーバーと接続情報の保護状況を確かめておく必要があります。

Shopifyは10月20日の開発者向け声明で、アプリの認証・権限、ログ、関係するアカウントなどの点検を提供元へ求めています。10月22日には当社にも、公開アプリとカスタムアプリの更新・セキュリティ確認に加え、店舗のアプリ権限や不要なアプリの見直しを支援するよう案内が届きました。

Shopifyの基盤の保護と店舗側の管理については、別記事のShopifyのセキュリティを支える仕組みでも説明しています。

アプリから偽の購入画面へ転送された事例

アプリの問題が購入者の画面に及んだ例として、Wishlist Plusの事例があります。提供元のSwymは、10月14日に第三者がアプリの設定を無断で変え、一部ストアの特定ページで不正なスクリプトが読み込まれたと10月16日に発表しました。同社の説明では、購入ボタンを押した人が外部の偽購入画面へ転送された可能性があります。

Swymは設定を戻して不正なコードを削除し、認証情報を更新したと説明しています。10月20日のFAQでは、全店舗でアプリを予防的に停止し、Shopifyへのアクセスを失効させたことも明らかにしました。同社は当時、顧客情報データベースが侵害された証拠はないと説明しましたが、偽画面へ入力された決済情報は収集されたおそれがあります。

Selleasyの提供元Logbaseも、10月13日の攻撃で一部店舗に不正なスクリプトが入り、購入者が外部のフィッシング画面へ転送されたとみられると10月16日に説明しています。同社によると、数時間以内に原因を修正してスクリプトを除去し、影響を受けた店舗へ通知しました。10月16日時点では調査を続けるとしています。

両社が説明したのは、購入者が正規のShopify Checkoutへ進む前に外部画面へ誘導された事例で、Checkout本体への侵入を示すものではありません。今回のPHP脆弱性との関係も確認されていません。提供元の規模や知名度だけで判断せず、利用中のアプリの公式告知から、自分のストアが対象か、店舗で必要な対応があるかを確かめてください。

まずは導入済みアプリと権限を棚卸しする

導入したアプリがどの情報へアクセスできるかを調べるには、Shopify管理画面の［設定］→［アプリ］を開きます。外部アプリは、名前を選ぶと詳細ページが開きます。［アクティビティと権限］の［表示］と［編集］の列で、アプリが閲覧・変更できる領域を見られます。最近の利用状況もこの画面に表示されます。［プライバシー］にはアクセスできる個人情報の種類が表示されます。項目名は管理画面の言語によって異なり、Shopify製アプリの活動状況はこの画面で追跡できません。Shopifyのアプリ管理手順

画面に権限が表示されても、アプリがその情報を実際に取得したとは限りません。最近の利用が見当たらないアプリも、年に数回使う機能や、裏で動く在庫・発送連携かもしれません。削除を決める前に業務担当者へ用途を聞き、許可した権限がその用途に合っているか確かめてください。

アプリごとに用途と止めた場合の影響を記録しておくと、残すかどうかを判断し、提供元への質問も整理できます。管理画面に表示されない保存先や保守状況も、提供元の案内や回答をもとに記録してください。

たとえば、普段は開かない在庫連携アプリに商品・注文の編集権限があっても、毎日裏で同期しているならすぐには削除できません。在庫担当者に同期元を聞き、その権限が必要かを提供元へ確認してください。一方、試用を終え、担当者も用途を説明できず、止めたときの影響も確認できたアプリなら削除を検討できます。

利用中のアプリについては、提供元のお知らせ、リリースノート、稼働状況のページやメールを確認してください。自分のストアが影響を受ける構成か、いつ対応を終えたか、店舗側に必要な操作があるかを見て、分かった内容を棚卸し表に残しておくと、必要な対応を決めやすくなります。利用者が多いアプリでも、対応状況は提供元の案内や回答で確かめてください。

案内が見つからない場合や、読んでも自分のストアへの影響が分からない場合は、提供元に問い合わせてください。公開アプリなら、アプリ詳細ページにあるサポート先から連絡できます。自社で作った独自連携やカスタムアプリは社内の開発・保守担当、制作会社が作ったものは制作会社や保守契約先が問い合わせ先です。聞くのは、今回の脆弱性の影響を受けるか、修正は済んでいるか、店舗側で必要な作業はあるか、という3点です。アプリがデータをどこに保存するか分からない場合は、あわせて確認してください。告知がないことだけで未対応とは決めつけられません。

使っていないアプリをアンインストールすると、そのアプリは今後、ストアデータへアクセスできなくなります。提供元がすでに取得して保存したデータも削除したい場合は、別途確認が必要です。提供元のプライバシーポリシーで削除の対象と依頼方法を確かめてください。Shopifyのアプリとデータアクセスの説明

制作会社が作ったカスタムアプリは、保守先まで確認する

制作会社が作ったカスタムアプリは、当時の担当者がいなくなると、更新を誰に頼めばよいか分からなくなることがあります。ただし、毎月の保守費用を払っていないというだけで危険とは判断できません。Shopify上で動く拡張だけを使い、外部サーバーを持たないアプリもあるためです。Shopifyの拡張のみで構成するアプリの説明

制作会社には、アプリの用途、外部サーバーの有無、Shopifyのどの情報へのアクセスを許可したか、止めた場合に影響する業務を尋ねてください。外部サーバーがあれば、そこで使う言語と、更新や稼働環境を誰が管理するかも聞いてください。ソースコードとサーバー環境の管理先、アプリの登録に使っているアカウントも確かめておくと、今後の修正を誰に頼めるか判断しやすくなります。

元の制作会社と連絡が取れない場合は、別の開発会社に、アプリの仕組みや外部サーバーの有無、アプリに許可した権限の調査を依頼してください。注文や在庫の処理に使うアプリを急に消すと、業務が止まるかもしれません。構成と影響が分かってから、保守を引き継いで使い続けるか、必要な部分を直すか、別の仕組みに移すか、利用をやめるかを決める必要があります。自社にアプリの所有権やソースコードがなく修正できない場合も、代わりの方法と移行する順序を先に決めてください。

管理画面に入れる人と端末を見直す

アプリの権限に加えて、管理画面に入れる人も見直してください。正しい権限を持つアカウントでも、他人に奪われれば、その人が見られる情報や変更できる設定を悪用されるおそれがあります。

今も必要な人だけが入れるか

［設定］→［ユーザー］を開き、スタッフとコラボレーターの一覧を確認してください。退職した人や、作業を終えた制作会社のアクセスは外し、今も作業する人には各自のアカウントを使ってもらいます。オーナーのログイン情報を共有していると、誰が操作したか分からず、特定の人だけのアクセスを止めることも難しくなります。Shopifyのアカウント保護ガイド

仕事に必要な権限だけか

アクセスを残す人についても、仕事に必要な権限かを見直してください。たとえば問い合わせ担当に注文の閲覧が必要でも、全顧客の書き出しやアプリ管理まで必要とは限りません。権限を絞れば、アカウントを奪われたときや、誤操作・内部不正が起きたときに、閲覧・変更され得る情報や設定を減らせます。

コラボレーターのログインには、Shopifyがすでに2段階認証を必須にしています。店舗で確認するのは、その人のアクセスが今も必要か、許可した権限が広すぎないかです。コラボレーターの管理方法

パスワードを盗まれても入られにくいか

オーナーとスタッフは、各自のプロフィールにある［セキュリティ］から2段階認証を設定してください。利用できる端末なら、パスワードの代わりにパスキーを使う方法もあります。2段階認証を使うと、パスワードだけを盗まれても侵入されにくくなります。ただし、ログイン状態を盗まれた場合や、正規の権限を持つ人による不正は防げません。Shopifyの2段階認証とアカウント保護、パスキーの案内

メールと端末も守れているか

「セキュリティ更新のため至急ログイン」といったメールが届いても、メール内のリンクから認証情報を入力しないでください。偽のログイン画面へ誘導して認証情報を盗む、フィッシングの可能性があります。普段使うブックマークから管理画面を開き、案内を確かめてください。Shopifyのフィッシング対策

端末が感染すると、パスワードだけでなくログイン状態まで奪われるおそれがあります。業務用端末を更新し、画面ロックを使ってください。Shopifyへのログインや復旧に使うメールアカウントにも2段階認証を設定し、不審な転送設定がないか確認してください。

すでに不審な動きがある場合

購入者が正規のCheckoutへ進む前に見知らぬ購入画面へ移るなど、不審な動きに気づいたら、アプリの棚卸しが終わるのを待たずに対応してください。どのページで何を押し、どのサイトへ移ったかを記録して画面を保存し、Shopifyサポートへ連絡してください。関係するアプリが分かれば提供元にも連絡し、担当者とともに、転送を止める方法や購入者への対応を検討する必要があります。こうした異常は今回のPHP脆弱性以外の原因でも起こり得るため、まず起きている動きを伝えてください。

調べきれないアプリや保守の引き継ぎはPopazへ

まず管理画面で、導入済みアプリの用途と権限、スタッフとコラボレーターのアクセスを確認してください。アプリの権限が適切か判断できない場合や、制作会社と連絡が取れずカスタムアプリのサーバーやソースコードの所在が分からない場合は、分かったアプリ名と用途、画面に表示された権限、連絡できた先を整理しておくと、次に調べる範囲を伝えやすくなります。

Popazでは、アプリの用途と権限を調べ、カスタムアプリがどこで動いているか、誰が保守できるかを確認するお手伝いができます。その結果を基に、今の仕組みを使い続けるか、直すか、別の仕組みに移すか、利用をやめるかを検討し、保守の引き継ぎも支援します。ストアのURL、困っている連携や担当不明のアプリ名、分かっている業務への影響を添えてお問い合わせください。