「MFAをかけているから安全」は思い込みかもしれません
国内のECサイトで幅広く使われているオープンソースのECプラットフォーム「EC-CUBE」に、多要素認証（MFA：パスワードに加えてスマホ認証などを組み合わせる仕組み）を回避できる脆弱性が発見されました。
この脆弱性は「CVE-2026-30777」として識別されており、影響を受けるのはEC-CUBE 4.1・4.2・4.3を使用しているサイトです。共通脆弱性評価システムCVSSv4.0のベーススコアは6.9、CVSSv3.0では4.9（中程度）と評価されています。数値だけ見れば深刻度は中程度ですが、この脆弱性が意味することは決して軽くありません。
弊社のクライアント様にもEC-CUBEをご利用の企業様は多くいらっしゃいます。まだ情報をご確認でない場合は、この機会にぜひ対応状況をご確認ください。
管理者アカウントを奪われると何が起きるか
この脆弱性を悪用するには、まず攻撃者が管理者のIDとパスワードを入手している必要があります。「それなら大丈夫では？」と感じた方もいるかもしれませんが、ここが重要なポイントです。
パスワードの使い回しや、フィッシングメールによる認証情報の詐取は今や日常的な攻撃手口となっており、管理者の認証情報が攻撃者の手に渡る経路は複数存在します。そうして入手した認証情報があれば、MFAという最後の防衛線すら突破できてしまうのです。
もし不正ログインが成立すれば、商品情報の改ざん、顧客の個人情報へのアクセス、決済設定の変更など、ECサイトの根幹に関わる操作が可能になります。2026年3月5日時点で悪用による実被害は確認されていませんが、だからこそ今のうちに対処しておきたいところでしょう。
今すぐ確認すべき3つのステップ
対応はシンプルで、EC-CUBEの開発元はすでに修正パッチを公開しています。利用中のバージョンを確認した上で速やかに適用することが、最優先の課題となります。
手順を整理すると次の3点です。①自社のECサイトがEC-CUBE 4.1・4.2・4.3のいずれかを使っているかを確認する。②EC-CUBE公式の「脆弱性リスト」ページにアクセスし、CVE-2026-30777に対応したパッチを入手する。③テスト環境で動作確認を行ってから、本番環境へ適用する。
外部のシステム会社やベンダーに運用を委託している場合は、担当者へ連絡し対応状況を確認することをおすすめします。「委託先が対応してくれているはず」という認識のまま放置するのが、最もリスクの高い状態といえるでしょう。
オープンソースの利便性と「運用責任」はセット
EC-CUBEは無償で利用できる上に機能が豊富で、国内の多くの企業に採用されています。その価値は本物です。ただし、オープンソースの利用には「自社で継続的に面倒を見る」という責任が常に伴います。
商用製品であればベンダーがサポートやパッチ提供を担いますが、オープンソースでは自社でその判断と実施を行わなければなりません。バージョンの定期確認、セキュリティ情報の入手体制、パッチ適用の運用フロー。こうした「当たり前の運用」を仕組みとして整備しておくことが、安全に使い続けるための前提条件なのです。
JVN（Japan Vulnerability Notes：国内の脆弱性情報ポータル）では、EC-CUBEを含む主要なソフトウェアの脆弱性情報が随時公開されています。メール通知の設定なども活用しながら、情報を継続的にキャッチアップできる体制を整えておきましょう。
