【今すぐわかる】ECサイトのセキュリティ無料診断｜WordPress・EC-CUBE・Shopify対応

「WordPressのPHPは更新した方がいい？」「EC-CUBEの保守はどこまで必要？」「ShopifyやBASEなら何もしなくても安全？」。ネットショップのセキュリティ対策は、利用しているシステムによって確認する場所が違います。

このページでは、利用中のECサービスを選び、対策状況に答えるだけで、未対応の項目と次に取るべき行動をその場で確認できます。専門的な脆弱性診断ではなく、EC運営者向けのセルフチェックです。技術的な安全性を保証するものではありません。

2026年10月21日には、PHPの重大な脆弱性（CVE-2026-109618、CVE-2026-109619）を修正する更新版が公開されました。PHPはWordPressやEC-CUBEなどで利用されるため、ECサイトの管理方法を見直すきっかけになります。ただし、PHPを自社で更新する必要があるかどうかは、構築環境によって異なります。

そこで、一般的な対策を一律に並べるのではなく、使っているECシステムに応じた質問に回答し、その場で「対応済み」「未対応」「わからない」を整理できる診断フォームを用意しました。所要時間は回答状況によって異なりますが、事前準備や会員登録は不要です。

この無料診断でできること・できないこと

診断結果はあくまでも自己申告に基づく対応状況です。「すべて対策済み」であっても、安全性が保証されるわけではありません。 不審な挙動や侵害の疑いがある場合は、フォームよりも先に保守会社やセキュリティ専門家へ連絡してください。

ECサイトのセキュリティ無料診断

お使いのシステムを選択してください。回答はこの画面内で集計され、送信されません。ECサイトのURL、パスワード、注文情報などの入力は不要です。

診断結果の見方｜「未対応」と「わからない」を分けて改善する

このチェックは、ECサイトのプログラムを自動でスキャンする脆弱性診断ではありません。回答をもとに、誰がどの対策を確認すべきかを整理するためのツールです。回答がすべて「対策済み」であっても、攻撃を受けないことを保証するものではありません。

「わからない」が多い場合も、慌てる必要はありません。まず、保守契約書やサービスの公式管理画面を確認し、担当者が不明な事項を明確にしましょう。特に重大な脆弱性情報が公表されているときは、定期点検を待たずに保守会社へ確認することをおすすめします。

2026年10月のPHP脆弱性｜WordPress・EC-CUBEの確認方法

PHPはWordPressやEC-CUBEなどでも利用されるプログラミング言語です。2026年10月21日、PHP開発元はCVE-2026-109618とCVE-2026-109619への修正を公開しました。条件によって認証なしのリモートコード実行につながる深刻な問題として案内されており、PHP公式は更新を推奨しています。

上記はPHP公式が公開した修正版です。ホスティング事業者が修正をバックポートしている場合もあるため、表示される番号だけで判断せず、契約サーバーの公式告知と実際の適用状況を合わせて確認してください。PHP 8.1以前などサポート終了系列では、サポート対象の環境への移行も検討が必要です。

情報源：PHP公式ニュースアーカイブ／PHP公式サポート対象バージョン（2026年10月22日時点）

WordPressで確認する手順

WordPressでは管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」からPHPのバージョンを確認できます。次にレンタルサーバーの管理画面やサポート窓口で、修正適用状況を確認してください。WordPress本体やWooCommerceなどの更新状況も合わせて点検します。

EC-CUBEで確認する手順

EC-CUBEはバージョンや独自カスタマイズによって対応方法が異なります。EC-CUBE本体・プラグインのセキュリティ情報と、稼働中のPHPの状態を別々に確認します。制作会社や保守会社が管理している場合は、サーバー側の修正だけでなく、カート・決済・受注管理まで更新後の動作を検証したか確認しましょう。公式情報はEC-CUBEセキュリティ情報を参照してください。

自社管理型ECで共通して確認すること

まずサーバーのPHPバージョンと修正適用状況を確認し、WordPress・EC-CUBE本体、拡張機能、独自カスタマイズの保守状況も確認します。セキュリティ更新は急ぐ必要がありますが、購入手続きや決済に影響する可能性もあるため、バックアップと互換性テストを併せて実施しましょう。

Shopify・BASE・STORES・makeshopなどのクラウド型の場合

クラウド型サービスでは、PHPを含む基盤部分を利用者が直接管理しないことが一般的です。サービス会社の公式案内を確認しながら、店舗側では管理アカウント、追加アプリ、外部連携など自分たちの管理範囲を重点的に点検しましょう。特定サービスへの影響は公式発表なしに断定できません。

サービス別｜自社で確認する場所を整理しよう

同じ「ECサイトのセキュリティ対策」でも、事業者が直接操作できる部分は異なります。診断フォームで選択した環境に応じて、次の項目を点検してください。

クラウド型のサービスでは通常、基盤の更新を提供会社が担当します。一方で、独自に別サーバーで動かしている連携プログラムや、店舗側の管理アカウントまで提供会社が守ってくれるとは限りません。「自社管理か、サービス会社の管理か」を切り分けることが第一歩です。

未対応が見つかったら｜優先して対処する順番

回答のすべてを一度に改善する必要はありません。ただし、重大な脆弱性への未対応や管理画面の不正利用が疑われる場合は、定期点検を待たずに対応しましょう。

なお、サイト改ざんや情報漏えいの疑いがある場合は、通常の設定変更だけで済ませず、被害拡大防止とログなどの証拠保全を優先し、専門家に相談してください。

保守会社・制作会社に送るときの確認ポイント

診断結果に「未対応」「わからない」があれば、結果をコピーして担当者へ共有できます。特にPHPやECシステム本体の更新については、「現在の稼働バージョン」「セキュリティ修正の適用状況」「対応予定日」「更新後の購入テスト」の4点を聞くと、回答を具体的に得やすくなります。

ECサイトのセキュリティ診断でよくある質問

すべて「対策済み」なら安全と判断できますか？

いいえ。診断は自己申告による運用チェックです。実際の設定や侵害の有無を技術的に調査した結果ではないため、安全性を保証するものではありません。定期的な更新確認や専門家による点検も必要に応じて検討してください。

PHPをすぐに変更するとECサイトが壊れませんか？

PHPの変更でテーマ・プラグイン・独自プログラムに互換性の問題が生じる可能性はあります。重大な脆弱性への対応は急ぎつつ、保守会社とバックアップ、検証環境、商品購入・決済テスト、戻し方を確認して進めてください。

この診断で脆弱性がないと判定できますか？

いいえ。このフォームは運用上の対策状況を確認する自己点検ツールです。システムの脆弱性や侵害の有無を技術的に調査するものではありません。必要に応じて専門事業者による診断を受けてください。

フォームの回答やショップ情報は送信されますか？

このフォームは、選択した回答をブラウザ上のJavaScriptで集計する設計です。回答を送信する専用のサーバー通信や個人情報の入力欄は設けていません。ただし、サイト共通で導入している解析ツールや外部スクリプトの動作については別途確認が必要です。

クラウド型ECならPHPの対応は不要ですか？

クラウド型ではプラットフォーム側が基盤の保守を担うことが一般的ですが、利用サービス固有の対応については公式案内を確認してください。独自の外部連携や別サーバーがある場合は、その保守も必要です。

まとめ｜診断結果を共有し、改善の担当者と期限を決めよう

WordPress・EC-CUBEではPHPやアプリケーションの更新を、クラウド型ECではアカウントと連携先の管理を中心に点検すると、自社の責任範囲が明確になります。この診断で見つかった未対応項目を優先度順に確認し、担当者と期限を決めて記録しましょう。わからない項目は保守会社へそのまま共有するのが近道です。

顧客情報の管理、情報漏えい防止、事故時の対応など、ECセキュリティ全体の考え方はECサイトのセキュリティ対策｜個人情報漏えいを防ぐ12のチェック項目で詳しく解説しています。

参考情報・一次情報

• PHP公式・2026年セキュリティリリース
• PHP公式・サポート対象バージョン
• WordPress公式・サイトヘルス
• EC-CUBE公式・セキュリティ情報
• ECサイトのセキュリティ対策｜基本と12項目のチェック

※2026年10月22日時点の情報。セキュリティ関連の修正版や運用ルールは変更されるため、実施時は必ず公式情報をご確認ください。

ネットショップの管理・運営にお悩みですか？

「自社で何を管理すべきか整理したい」「保守会社との役割分担がわからない」など、EC運営体制に関するご相談を受け付けています。緊急の侵害調査や技術的な脆弱性診断が必要な場合は、セキュリティ専門会社へご相談ください。