今週「PHPの脆弱性」というニュースを目にして、不安を感じた方も多いのではないでしょうか。10月21日に報道されて以来、多くのマーチャント様やパートナー様から、同じ2つのご質問をいただいています。「自分のストアは危険なのか？」「何か対応が必要なのか？」というものです。
ストアの運営だけでも、気にかけることは山ほどあります。そのうえ、今回の件について出回っている情報の多くは、あまり役に立ちません。不安をあおる見出しばかりで、脆弱性の中身をほとんど説明していない投稿や再投稿が、実際以上に深刻に見せているのです。ですから、まずお伝えしたいのは「慌てる必要はありません」ということです。本記事では、何が起きたのか、Shopifyストアにとってどんな意味があるのか、そして今日からできることを、わかりやすくご説明します。
何が起きたのか、わかりやすく解説
2026年10月21日、PHPの開発チームは、PHPそのものに見つかった2件の重大なセキュリティ上の欠陥に対し、緊急の修正版を公開しました。研究者からは「PHP2Shell」（正式にはCVE-2026-109618およびCVE-2026-109619）と呼ばれており、深刻度はいずれも10段階中9.2と評価されています。（Cyber Kendra）
PHPは、WordPress、WooCommerce、Magentoや多くの独自Webサイトなど、Webの非常に大きな部分を支えるプログラミング言語です。サーバー側の言語が判明しているWebサイトのうち約70%がPHPを使っています。しかも今回の欠陥はPHP 5.4以降のすべてのバージョンに存在するため、影響は個々のサイトにとどまりません。
PHPを車のエンジン、Webサイトのコードをドライバーにたとえてみましょう。よく耳にするセキュリティ問題の多くは、不具合のあるプラグインや弱いパスワードなど、いわば「ドライバーのミス」です。ところが今回は、エンジンそのものに欠陥があります。そのため、コードを完全に最新の状態にしているWebサイトでも、土台となるPHPが更新されるまでは危険にさらされたままになります。
PHP2Shellは、Webサイト自体のコードではなく、エンジン（PHPそのもの）の欠陥です
攻撃者はこの欠陥を使って何ができるのでしょうか？特殊な細工を施したリクエストを送ることで、脆弱なサーバー上で自分のコードを実行させたり、サーバーを停止させたり、パスワードやトークン、APIキーを含む可能性のあるメモリの一部を漏えいさせたりできます。ログインも必要ありません。（BleepingComputer）
なぜこれほど突然に感じられたのでしょうか？予定されていた発表の1日前、10月20日に詳細がネット上に流出したため、修正版が前倒しで公開され、世界中のセキュリティチームが急いで動いたのです。Cloudflareは正式な公表の数時間前から攻撃の試みを確認したと報告しており、無料プランを含む顧客向けに追加のファイアウォール防御を有効にしました。（PPC Land）ただし、ファイアウォールはあくまで時間稼ぎにすぎません。PHPの開発チーム自身も、安全な選択肢は更新だけだとしています。（Cyber Kendra）
流出から修正まで3日間：PHP2Shellの経緯
では、自分のShopifyストアは影響を受けるのでしょうか？
結論から言うと、ストアそのものについて、あなたが修正すべきものはありません。Shopifyのプラットフォーム本体はPHPで構築されていません。Ruby on Railsで動いており、サーバーの運用・保守もShopifyが自社で行っているため、あなたの側で更新すべきPHPは存在しないのです。（Narrows Web）
とはいえ、ビジネスはストアフロントだけで成り立っているわけではないでしょう。その周辺でPHPが関わりうる部分を整理しました。
| ビジネスの構成要素 | 運用しているのは | PHPが関わる可能性は？ |
|---|---|---|
| Shopifyストアとチェックアウト | Shopify | なし。Shopify本体はPHPで構築されていません |
| インストールしているサードパーティ製アプリ | 各アプリの開発元（それぞれのサーバー上） | 可能性あり。裏側でPHPを使っているアプリは多くあります |
| 自社向けに開発したカスタムアプリ・非公開アプリ | あなた、または開発者 | 可能性あり。こちらはあなたの責任範囲です |
| 別に運営しているWebサイト、ブログ、ランディングページ（例：WordPress） | あなた、またはホスティング会社 | WordPressなどであれば可能性大 |
マーチャント様から最も多くいただくのが、アプリに関するご質問です。アプリはストアの中で動いているわけではありません。開発元のサーバー上で動き、Shopify経由でストアに接続しています。そのため重要なのは、利用している各アプリの開発元がサーバーの修正を済ませているかどうかです。
今週、代理店やパートナー企業がアプリ開発元に問い合わせているのはそのためです。あなたも同じように確認できます。
Qikifyが行った対応
Shopifyエコシステムの多くのアプリと同様に、Qikifyのアプリも弊社のサーバー上でPHPで稼働しています。ニュースが報じられてすぐに、弊社チームは対応に取りかかりました。
弊社のアプリはCloudflareを経由して稼働しているため、Cloudflareが今回の攻撃に対して展開したファイアウォールルールが、修正版の適用前から弊社のサーバーを守っていました。さらに念のため、弊社アプリでは使用していないPHPの機能（セッションのアップロード進捗の追跡）を無効にしました。セッションやファイルのアップロードは通常どおり動作し、修正版の適用後にこの機能は元に戻しています。
10月22日 午前10時07分（UTC+7）までに、Qikifyの全アプリで修正が完了し、修正済みのPHPバージョンで稼働しています。Checkout Customizer、Upsell & Cross-sell、Slide Cart Drawerをはじめとする主要アプリは8.2.35、Koin、Mysbox、Duos、Volume Discountsは8.3.36です。QAチームが機能に変更がなく正常に動作していることを確認済みで、エラーログおよびリクエストログにも攻撃の痕跡は見られません。
Qikifyの全アプリは10月22日までに修正完了。マーチャント様側の対応は不要です
これほど迅速に対応できた理由のひとつは、過去の経験です。弊社は7月に自社のセキュリティインシデントに対応しており、そこで得た教訓が今週の対応に生かされました。
Qikifyアプリについて、あなたが行う対応はありません。更新、再インストール、再設定など、あなたの側で必要な作業は一切ありません。技術的な詳細は、弊社の公式セキュリティ情報をご覧ください。
今週できること
どれもセキュリティの専門家である必要はありません。ほとんどの作業は15分以内で終わり、ストアを見直すよい機会にもなります。
今週ストアのセキュリティを見直すための8つのクイックチェック
- ☐ アプリを慌ててアンインストールしないでください。アプリを一斉に削除するよう呼びかける投稿もありますが、急いでアンインストールすると、ストアが頼りにしている機能が壊れるおそれがあります。また、開発元がすでに修正済みであれば、防御効果も上がりません。代わりに、Shopify管理画面の「設定」>「アプリ」から、もう使っていないアプリやAIツール、自動化だけを削除しましょう。
- ☐ 使い続けるアプリについては、開発元に「このアプリはPHPを使っていますか？PHP2Shellの修正は適用済みですか？」と短いメッセージを送りましょう。信頼できる開発元なら、質問を歓迎し、明確に回答してくれるはずです。
- ☐ WordPressのブログやランディングページ、フリーランスに作ってもらったカスタムアプリなど、Shopify以外で運用しているものがあれば、ホスティング会社や開発者にすぐPHPを更新するよう依頼しましょう。それまでの間はファイアウォールが役立ちますが、本当の対策は更新です。（BleepingComputer）
- ☐ 今回の欠陥では、パスワードやAPIキーを含む可能性のあるサーバーのメモリが漏えいするおそれがあります。（Cyber Kendra）自社のカスタムアプリが、更新が間に合わなかったPHP上で動いていた場合は、開発者にアクセストークンの再発行を依頼しましょう。コードに貼り付けたキーや、以前の協力者・AIツールと共有したキーを再発行するのにもよい機会です。
- ☐ スタッフアカウントとコラボレーターのアクセス権を見直し、不要になった人を削除して、2段階認証を有効にしましょう。
- ☐ 今週は「緊急のセキュリティ対応」を装ったメールに注意してください。詐欺師は大きなセキュリティニュースに便乗しがちです。「PHPを修正するため」にログインやインストールを求めるメールが届いても、リンクはクリックせず、Shopifyに直接アクセスしてください。
- ☐ 数日間はストアの様子を注意して見守りましょう。身に覚えのないテーマの変更、見知らぬアプリ、チェックアウトの不審な挙動に気づいたら、すぐにそのアプリのサポートチームに連絡してください。
- ☐ シークレットウィンドウでチェックアウトを開き、本物のShopifyチェックアウトページが表示されることを確認しましょう。
あなたはひとりではありません
今年はオンラインセキュリティにとって厳しい1年でした。PHPのような基盤部分に欠陥が見つかれば、不安になるのも当然です。それでも、対応は迅速でした。流出から1日のうちに、PHPの開発チーム、ホスティング会社、セキュリティ企業が修正と防御策を提供したのです。
ストアやアプリ、本記事の内容についてご質問があれば、サポートチームがお手伝いいたします。
Qikifyアプリに関する公式の最新情報は、こちらのセキュリティ情報をご覧ください。
