EC-CUBE「Amazon Payプラグイン」に脆弱性、悪用を確認―注文中の不正サイト誘導でアカウント情報窃取の恐れ

株式会社イーシーキューブは2026年10月14日、EC-CUBE 4系向けの公式「Amazon Payプラグイン」に脆弱性が存在すると公表しました。JVN（Japan Vulnerability Notes）も同日、CVE-2026-103671として詳細を公開しています。

本脆弱性を悪用すると、ECサイトの注文手続き中に利用者を攻撃者が指定するWebサイトへ誘導し、アカウント情報などを窃取する可能性があります。JVNによると、開発者は実際に本脆弱性を悪用した攻撃を確認しています。

EC-CUBE「Amazon Payプラグイン」脆弱性のサマリー

• 公表日：2026年10月14日
• 脆弱性識別子：CVE-2026-103671（JVN#43511918）
• 対象：EC-CUBE 4系向け公式Amazon PayプラグインのCV1版・CV2版
• 脆弱性の種類：不変と想定しているWebパラメータの外部制御（CWE-472）
• 深刻度：CVSS v4.0で5.3、CVSS v3.0で4.7（いずれもMedium）
• 想定される影響：注文手続き中の外部サイトへの不正リダイレクトと、アカウント情報などの窃取
• 悪用状況：開発者が実際の攻撃を確認したとJVNが公表
• 対策：公式プラグインの修正版への更新、または開発元が案内するパッチの適用

影響を受けるバージョンと修正状況

対象となるのは、EC-CUBE本体のバージョンだけではなく、利用しているAmazon Payプラグインの種類とバージョンで判定する必要があります。

イーシーキューブの公式リリースノートでは、CV2版のv1.1.13およびv4.3.2が2026年8月17日に公開され、注文手続き中の想定外の画面遷移を修正したと説明されています。今回のJVN公開日である10月14日より前に修正版がリリースされていたことになります。

また、CV1版のv1.2.9以前については、公式告知で最新版のv1.3.1へ直接バージョンアップできないと案内されています。開発元はCV2版への移行を強く推奨しています。独自改修や他の決済プラグインとの組み合わせがある場合は、更新前にバックアップと動作確認を行ってください。

なお、クラウド版の「ec-cube.co」については、イーシーキューブが修正済みであると公表しています。

注文手続き中のリダイレクト処理を悪用

JVNによると、今回の問題は、本来変更されないことを想定したWebパラメータを外部から制御できてしまう脆弱性です。攻撃に成功すると、購入者が注文手続きを進める途中で、正規の決済フローとは異なるWebサイトへ移動させられる可能性があります。

誘導先が正規サービスに似せた偽のログインページなどであれば、利用者が入力したアカウント情報を取得される危険があります。ただし、JVNの公表は脆弱性の悪用を確認したというものであり、実際のアカウント窃取件数や被害サイト数を明らかにしたものではありません。

一方、イーシーキューブの告知では危険度を「高」とし、不正な管理者アカウントの登録や管理画面へのログインにも言及しています。JVNでは主に注文時の不正リダイレクトを影響として説明しており、両者の記述には差があります。管理者アカウントが実際に不正作成されたと断定せず、運営側で管理者一覧とログイン履歴も点検するのが妥当です。

ECサイト運営者が確認する項目

対象プラグインを導入している場合は、保守会社や開発担当者と連携し、次の項目を確認してください。

1. 本番サイトで利用しているEC-CUBE本体とAmazon Payプラグインの種類・バージョンを確認する。EC-CUBE 4.3.1以降の標準搭載版も確認対象から除外しない。
2. 対象バージョンであれば、開発元の公式告知と修正手順に従い、プラグイン更新またはパッチを適用する。更新後は注文・決済・リダイレクト動作をテストする。
3. Webサーバーのアクセスログ、決済処理のログ、利用者からの問い合わせを確認し、想定外の遷移や不審なパラメータを伴うアクセスがないか調査する。
4. 管理者アカウントの一覧とログイン履歴を確認し、心当たりのないアカウントや操作がないか点検する。
5. 不正な誘導や認証情報の入力被害が疑われる場合は、影響を受けた利用者の特定、パスワード変更の案内、関係先への連絡などを検討する。

インターネットに公開したECサイトでは、CVSSの数値だけでなく、実際の攻撃が確認されているか、認証情報の窃取につながるかを踏まえて修正を優先する必要があります。対応の優先順位付けや修正後の検証については、脆弱性管理の運用プロセスでも整理しています。

出典

• 「EC-CUBE公式AmazonPayプラグインにおける脆弱性のお知らせ」― 株式会社イーシーキューブ
• JVN#43511918「EC-CUBE4系用プラグイン『AmazonPayプラグイン』における不変と想定しているWebパラメータの外部制御の脆弱性」― JPCERT/CC・IPA
• 「Amazon Pay V2プラグイン（4.0/4.1系）」リリースノート ― 株式会社イーシーキューブ
• 「Amazon Pay V2プラグイン（4.2/4.3系）」リリースノート ― 株式会社イーシーキューブ
• 公式パッチ案内ページ ― 株式会社イーシーキューブ

関連記事

修道学園のサーバーに不正アクセス―広島修道大学・修道中高などの個人情報や口座情報に漏えいのおそれ JR東海の顧客情報約1万5,000件、委託先調査で漏えい確認されず―IDCFクラウド攻撃の続報 LangGraphのチェックポイント機能に脆弱性(CVE-2025-64439) Cisco Catalyst SD-WAN Managerの脆弱性(CVE-2026-20224)、認証不要で任意ファイル読み取りの恐れ 講談社、フィッシング 被害で社用メールに不正アクセス 個人情報流出で553件に二次被害 OTネットワークのIT・IoT混在で横展開リスク-OT機器を含むOT専用セグメントは13% IDCFクラウドに不正アクセス、東日本第1リージョンで障害―暗号化・スナップショット破壊を主張する画像も拡散 標的型攻撃メール訓練を「インシデント対応訓練」に変える　初報から封じ込めまで何分で動けるか レッドチームとは？ペネトレーションテストとの違い・演習内容・導入判断を解説

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)