はじめに
- PHPの脆弱性のニュースを見て、自分のShopifyのストアは大丈夫か気になっている
- Shopifyのストアでも、お客さまの情報が漏れることはあるのか知りたい
- もし漏れたら、自分で気づけるのか不安
このような方のための記事です。
この記事では、2026年10月21日に起きたPHPの脆弱性の騒動とShopifyの関係を整理し、そのうえでShopifyのストアで本当に気をつけることを解説します。実際に運用サポートで関わっているお店から受けた質問をもとにしています。
10月21日、PHPの脆弱性で国内のカートが一斉に止まった
PHPは、ウェブサイトやシステムを作るためのプログラムの言語のひとつです。WordPressや、国内の多くのネットショップのシステムがPHPで動いています。
2026年10月21日、PHPに2つの重大な脆弱性があることが公表され、修正版が出ました。深刻度は10点満点で9.2です。特定の条件の下では、ログインしていない攻撃者がサーバーの上で好きなプログラムを動かせてしまう、という内容でした。
公表の前日から情報が出回っていたこともあり、国内では多くのサービスが念のため止まりました。makeshop、カラーミーショップ、BASEなどのネットショップのサービスでもメンテナンスの案内が出て、管理画面やショップのページが使えない時間がありました。
Shopifyはこの件の影響を受けていない
Shopifyは、PHPではなくRuby on Railsという別の仕組みで作られています。Shopifyの開発チームは、自分たちのシステムを「最も大きく古いRailsのアプリのひとつ」と説明しています。
そのため、今回のPHPの脆弱性はShopify本体には関係がありません。Shopifyのストアを運営しているお店が、この件で何か対応する必要もありません。
ひとつだけ補足すると、ストアに入れているアプリは、Shopifyではなく、それぞれの開発会社のサーバーで動いています。アプリの中にはPHPで作られたものもあるかもしれません。その場合の対応は各開発会社が行います。
お客さまのカード番号はストアに残らない
Shopifyのストアでお客さまが入力したクレジットカード番号は、Shopifyの決済画面で処理されます。カード番号そのものがお店の側に保存されることはありません。
Shopifyは、カード情報を扱う会社の国際的な安全基準であるPCI DSSの、最上位のレベル1に準拠しています。そしてこの準拠は、Shopifyで動くすべてのストアに自動で及ぶと説明しています。
それでも情報漏洩が起こりうる2つの道
カード番号は残らなくても、お客さまの名前・住所・メールアドレス・注文の履歴は、ストアの管理画面にあります。これが漏れる道は、主に2つです。
1. 管理画面のログインを盗まれる
Shopifyを装った偽のメールでログイン画面に誘われたり、ほかのサービスと同じパスワードを使っていてそちらから漏れたりして、管理画面に入られる形です。入られると、お客さまの情報を見られるだけでなく、売上の入金先を書き換えられることもあります。防ぎ方はShopifyの乗っ取り対策の記事にまとめています。
2. アプリの開発会社が攻撃を受ける
お客さまの情報を読む権限を持ったアプリは、その情報を開発会社のサーバーにも持っています。開発会社が攻撃を受けると、そこから漏れる可能性があります。2026年10月には、アプリの設定を書き換えられて、お客さまが偽の決済画面に飛ばされる被害も海外で出ました。経緯と確かめ方は偽の決済画面の記事にあります。
どちらも、Shopify本体が破られたわけではなく、お店の入り口かアプリの側から入られる形です。
漏れたら気づけるのか
気づくきっかけになるものは、いくつか用意されています。
- 見覚えのない端末から管理画面にログインがあると、Shopifyからメールで通知が届く
- アプリの開発会社やShopifyの側で問題が起きたときは、各社から連絡が来る
ただ、すべてをすぐに気づけるとは限りません。アプリの開発会社の側で起きたことは、その会社が気づいて知らせるまで、お店からは見えないことがほとんどです。だからこそ、入られないための備えを先にしておくことが大切です。
今日やっておくこと
- 管理画面にログインする全員が2段階認証を設定する
- 辞めたスタッフや、仕事が終わった制作会社のアカウントを外す
- 使っていないアプリを消す。残すアプリも、お客さまの情報を読む権限が本当に必要かを見る
- Shopifyを名乗るメールのリンクは開かず、ブラウザで管理画面を自分で開いて確かめる
1と2は「設定」→「ユーザー」から、3は「設定」→「アプリ」から確かめられます。
さいごに
PHPの脆弱性の件は、PHPで動くサービスの話で、Shopifyのストアには影響がありませんでした。お客さまのカード番号もストアには残りません。それでも、管理画面のログインとアプリの2つの道からは情報が漏れうるので、2段階認証、アカウントとアプリの見直し、偽のメールへの注意の3つを今日のうちに済ませておいてください。
ストアのアカウントやアプリの見直しは、お問い合わせからお気軽にご相談ください。