PHPの脆弱性「PHP2Shell」とShopify
ストア運営者が確認しておきたいこと
2026年10月21日、プログラミング言語PHPの重大な脆弱性（CVE-2026-109618、CVE-2026-109619）の修正版が公開されました。通称「PHP2Shell」と呼ばれ、SNSやニュースで大きく取り上げられています。
この脆弱性は、PHPで動いているサーバーが対象です。PHPは多くのWebサイトやシステムで使われているため、「自分のストアは大丈夫か」と気にされている方も多いと思います。
Shopify本体はPHPで動いていないため、本体への影響はないと考えられます。一方で、ストアにつないでいるアプリや連携ツールは、それぞれの会社のサーバーで動いており、PHPが使われている場合は対応が必要になります。
この記事では、Shopify本体への影響と、ストア運営者が確認しておきたい点を、確認できた公式情報をもとに整理します。
1. PHP2Shellとは
PHP2Shellは、PHPに見つかった2つの脆弱性の通称です。どちらも深刻度はCVSS v4.0で9.2とされ、外部から認証なしに、サーバー上で任意のコードを実行されるおそれがあります。
修正版は10月21日に公開されました。対象のバージョンは、PHP 8.2.35、8.3.36、8.4.27、8.5.12です。セキュリティ各社の報告では、すでに実際の攻撃も確認されています。
サポートが終わった古いバージョンについては、修正が提供されないとする報告もあります。古いPHPを使い続けているサーバーは、バージョンの引き上げが必要になる場合があります。
注意：対象になるのは「PHPを使っているもの」
PHPを使っていないシステムは、この脆弱性の対象外です。「PHPかどうか」が、影響を考える最初の分かれ目になります。
2. Shopify本体への影響
Shopifyの主要なシステムは、PHPではなくRuby on Railsで作られています。Shopifyのエンジニアリングブログでも、自社のシステムを「地球上で最も古く、最大級のRailsコードベースのひとつ」と説明しています。
「Our main monolith is one of the oldest, largest Rails codebases on the planet」
（私たちの主要なモノリスは、地球上で最も古く、最大級のRailsコードベースのひとつです）
出典：Shopify Engineering「Under Deconstruction: The State of Shopify's Monolith」（2020年9月）
このため、Shopify本体はPHP2Shellの対象外と考えられます。ストアの管理画面や、Shopifyが提供する機能について、ストア運営者がPHPの更新作業をする必要はありません。
ただし、2点お伝えしておきます。
- 上の引用は2020年の記事で、今回の件について書かれたものではありません。
- 筆者が確認した範囲では、Shopifyが今回の件について出した公式の声明は見つかっていません。
「Shopify本体は影響を受けない」は、システムの作りから導いた見立てです。Shopifyが明言した内容ではない点は、区別してお読みください。
3. 確認したいのは、ストアにつないでいるもの
ストア運営者が気にしておきたいのは、Shopifyの外側にあるものです。
Shopifyアプリは、Shopifyのサーバーではなく、アプリ会社のサーバーで動いています。そのため、アプリの裏側がPHPで作られている場合、対応するのはアプリ会社です。
PHPの影響を考える対象には、次のようなものがあります。
アプリ会社のサーバーがPHPで動いている場合が該当します。アプリごとに作りが異なるため、一覧で判断することはできません。
基幹システムやERPとShopifyをつなぐ中継ツールなどを、PHPで作っている場合が該当します。
ストアとは別に、お知らせやブログ用のWordPressを置いている場合が該当します。WordPressはPHPで動いています。
Shopifyの開発者向けドキュメントでは、アプリ開発者に対して、言語やWebサーバーのセキュリティ情報を追い、重大な修正は数日以内に適用するよう求めています。保守が終わった古いバージョンを使い続けないことも、あわせて書かれています。
これはアプリ開発者向けの指針で、ストア運営者に何かを求めるものではありません。ただ、アプリを選ぶときに「更新を続けている会社か」を見る目安にはなります。
出典：Shopify.dev「Keep dependencies and runtimes current」
4. アプリ会社への確認のしかた
影響があるかどうかは、アプリ会社に確認するのが確実です。すでにお知らせを出している会社もあります。
例として、Klaviyoで働く方が、X上で次のように案内しています。
10月21日に公表されたPHPの重大な脆弱性（CVE-2026-109618 / CVE-2026-109619）について、Klaviyoでは対応が完了しています。
本件によるお客様への影響はなく、お客様データへの不正アクセスも、その疑いも確認されていません。
出典：Klaviyoで働く方のX投稿（2026年10月27日）
この投稿は、Klaviyoで働く方の発信です。会社としての公式発表ではありません。それでも、「対応が完了しているか」「データへの影響はないか」を具体的に示しているかどうかは、確認の手がかりになります。
正式な回答が必要な場合や、お知らせが見当たらない場合は、サポート窓口に問い合わせてみてください。次の3点を聞けば、状況が分かります。
アプリ会社に聞くこと
- サーバーでPHPを使っているか
- 使っている場合、修正版への更新は済んでいるか
- お客様のデータへの不正アクセスの兆候はないか
なお、会社によって公開している情報の範囲は異なります。回答が得られない場合は、そのアプリが本当に必要かどうかも含めて、見直す機会にしてもよいと思います。
5. よくある質問（FAQ）
Q1: Shopifyのストアで、今すぐ設定を変える必要はありますか？
A: Shopify本体はPHPではなくRuby on Railsで動いているため、ストア側の設定を変える必要はないと考えられます。ただし、Shopifyが今回の件について出した公式の声明は、確認できた範囲では見つかっていません。
Q2: PHP2Shellとは何ですか？
A: 2026年10月に公表されたPHPの脆弱性（CVE-2026-109618、CVE-2026-109619）の通称です。外部から認証なしに任意のコードを実行されるおそれがあるとされ、深刻度はどちらもCVSS v4.0で9.2です。修正版は10月21日に公開されています。
Q3: 影響を受けるShopifyアプリの一覧はありますか？
A: 確認できた範囲では、影響を受けるアプリの一覧は見つかっていません。アプリはアプリ会社のサーバーで動くため、対応状況は会社ごとに異なります。ご利用中のアプリ会社の発表を個別に確認するのが確実です。
Q4: アプリ会社に問い合わせるとき、何を聞けばよいですか？
A: サーバーでPHPを使っているか、使っている場合は修正版へ更新済みか、お客様のデータへの不正アクセスの兆候がないか、の3点です。公式のお知らせがすでに出ている場合は、まずそちらをご確認ください。
Q5: PHPで作った自社の連携ツールがある場合は、どうすればよいですか？
A: そのサーバーのPHPは更新が必要です。社内のシステム担当者や制作会社に、PHPのバージョンと更新の状況を確認してもらってください。サポートが終わった古いバージョンには修正が提供されない場合があります。
6. まとめ
PHP2Shellは、PHPで動くサーバーが対象の脆弱性です。Shopifyのストア運営者にとっては、本体よりも、つないでいるアプリや連携ツールの状況が確認ポイントになります。
この記事のポイント
- Shopify本体はPHPではなくRuby on Railsで動いており、影響はないと考えられる
- Shopifyが今回の件について出した公式の声明は、確認できた範囲では見つかっていない
- アプリはアプリ会社のサーバーで動くため、PHPが使われている場合は各社の対応が必要
- 公式のお知らせがあれば確認し、なければ「PHPの使用」「更新の状況」「データへの影響」を問い合わせる
- PHPで作った連携ツールやWordPressがある場合は、そのサーバーのPHP更新も確認する
状況は日々更新されています。ご利用中のアプリ会社のお知らせは、時々確認しておくと安心です。
Shopifyストアのアプリ構成や運用でお困りのことがあれば、お問い合わせページからご連絡ください。
0件のコメント