BASE・Shopify は PHP の脆弱性（php2shell）と関係ある？ショップ運営者が確かめること

※2026年10月24日時点の情報です。状況が変わったら更新します。

2026年10月21日に公表された PHP の脆弱性（通称 php2shell）を受けて、国内ではネットショップのサービスが緊急メンテナンスに入りました。BASE のショップが一晩止まったことで、「Shopify も危ないのか」「自分で何か直す必要があるのか」と不安に感じた方もいるはずです。

BASE・Shopify のショップが今回の脆弱性と関係あるかは、サービスが PHP で動いているかと、サーバーを誰が管理しているかの2点で判断できます。2点を押さえると、自社で動く必要があるのか、サービス側に任せてよいのかを迷わず決められます。

本記事では、BASE と Shopify が PHP の脆弱性とどう関係するかを早見表で整理し、自社のショップが対象かを確かめる4つの手順・今やること・よくある誤解をまとめています。さらに、ショップとは別に持っている自社サイトで気をつける点も紹介します。

BASE・Shopify は PHP の脆弱性（php2shell）と関係あるか【早見表】

BASE・Shopify のショップ運営者が、今回の PHP の脆弱性のために PHP を更新する必要はありません。Shopify 本体は PHP を使っておらず、BASE は PHP を使っているものの、サーバーの修正は BASE 自身がするためです。

今回の脆弱性は、CVE-2026-109618 と CVE-2026-109619 の2件です。PHP の開発元は2件とも深刻度を CVSS v4.0 で 9.2 とし、修正版 8.5.12／8.4.27／8.3.36／8.2.35 を公開しました。ここでは、カートの種類ごとに関係の有無を1枚の表で示します。

カートの種類	PHP を使っているか	サーバーと PHP を直すのは	ショップ運営者が PHP を更新するか
Shopify	使っていない（本体は Ruby on Rails）	Shopify	不要
BASE	使っている	BASE	不要（2026年10月21日〜22日に BASE が緊急メンテナンスで対応）
Shopify・BASE に入れたアプリ、受注管理などの連携ツール	ツールによる	各ツールの開発元	不要（開発元のお知らせを確かめる）
EC-CUBE・WooCommerce など、自社のサーバーに置くカート	使っている	自社（レンタルサーバーなら一部はサーバー会社）	必要な場合がある

※2026年10月24日時点・PHP 公式サイト、Shopify Engineering、BASE の発表より

表のとおり、BASE・Shopify のようなサービス型のカートは、サーバーの修正をサービス側が引き受けます。一方、自社のサーバーに置くカートや、ショップとは別の自社サイトは、自社で確かめる必要があります。脆弱性そのものの内容と対象のバージョンは、PHP の脆弱性（2026年10月）で中小企業のHPが今やることで詳しく解説しています。

Shopify 本体が PHP の脆弱性と関係ない理由

Shopify は、PHP の脆弱性の影響を受けないサービスです。ただし、ショップの周りで使っているアプリや連携サービスまで同じとは限りません。

Shopify を使っていても、ショップの機能をアプリで足したり、受注や在庫を別のツールで管理したりしている会社は少なくありません。ここでは、Shopify 本体が関係ない理由と、アプリ・連携サービスで気をつける点の2つを解説します。

Shopify 本体は Ruby on Rails で動いている

Shopify 本体は、PHP ではなく Ruby（Ruby on Rails というフレームワーク）で作られています。Shopify の技術ブログは、中心のコードが280万行を超える Ruby のコードで、世界でも古く大きい Rails のコードの1つだと説明しています。

PHP の脆弱性は、PHP 本体の欠陥です。そのため、PHP を使っていない Shopify のショップページや管理画面は、今回の2件の対象になりません。さらに、Shopify はサーバーを自社で運用しているため、ショップ運営者がサーバーのソフトを更新する場面もありません。

ただし、「Shopify 本体が対象外」であることは、「ショップのすべてが安全」という意味ではありません。アカウントの乗っ取りのように、ショップ運営者の設定で防ぐリスクは、今回の脆弱性とは別に残ります。

Shopify アプリや連携サービスには PHP で動くものがある

Shopify のアプリや連携サービスは、Shopify とは別の会社が作り、別のサーバーで動かしています。アプリの開発元が PHP を使っていれば、そのサーバーは今回の脆弱性の対象になりえます。

たとえば、レビュー・フォーム・メール配信・受注管理などのアプリは、ショップの注文や顧客の情報を読み取る権限を持っていることがあります。アプリのサーバーが攻撃されると、ショップの情報に影響する可能性があるため、修正の状況を知っておくと安心です。

確かめる方法は、以下のとおりです。

• アプリの開発元のお知らせ・ブログ・サポートページ
• アプリ管理画面で、使っていないアプリが残っていないか
• アプリに渡している権限（注文・顧客情報の読み取りなど）

気になるアプリがあっても、慌てて削除する必要はありません。削除するとショップの表示や受注の流れが変わる場合があるため、開発元の回答を確かめてから整理しましょう。

BASE が PHP の脆弱性で緊急メンテナンスをした理由

BASE が緊急メンテナンスをしたのは、BASE のサービスが PHP を使っていて、修正をすぐに当てる必要があったためです。BASE は、ショップページ・注文・管理画面などを止めて対応しました。

ショップが一晩止まると、売上や情報漏えいが心配になります。ここでは、BASE の対応の内容・ショップ運営者がやること・お知らせの読み方の3つを解説します。

BASE は2026年10月21日〜22日に緊急メンテナンスをした

BASE は、2026年10月21日15時50分から22日8時まで、緊急メンテナンスでサービスを止めました。BASE は理由を「利用しているソフトウェア（PHP）に重大な脆弱性が確認された」ためと説明しています。

当初の予定より開始を早めたのは、BASE が「お客さまの情報とサービスの安全を守るための予防的な措置」と判断したためです。PHP の修正版が公開される前後は、脆弱性の情報が広まり攻撃が増えやすい時期にあたります。

BASE の対応をまとめると、以下のとおりです。

項目	内容
止まった期間	2026年10月21日15時50分〜22日8時
理由	利用しているソフトウェア（PHP）に重大な脆弱性が確認されたため
不正アクセス・情報漏えい	確認されていない（BASE の発表）
ショップ運営者へのお願い	お知らせに作業のお願いの記載なし

※2026年10月22日時点・BASE 公式のお知らせと報道より

ただし、停止の範囲や再開の時刻は、告知の途中で書き換えられています。正確な内容は、BASE のヘルプセンターの「障害・メンテナンス情報」で確かめてください。

BASE のショップ運営者が PHP を更新する必要はない

BASE のショップ運営者が、自分で PHP を更新する必要はありません。BASE のサーバーと PHP は BASE が管理していて、ショップ運営者が触れる場所ではないからです。

BASE とショップ運営者の役割は、以下のとおりです。

BASE がやること	ショップ運営者がやること
サーバーと PHP の修正	公式のお知らせとメールを読む
不正アクセスの調査と発表	メンテナンス前後の注文・売上を確かめる
サービスの再開	アカウントの守り（2段階認証など）を見直す

ただし、BASE とは別に WordPress などで自社サイトを持っている場合は、その自社サイトのサーバーは BASE の管理外です。自社サイトの確かめ方は、次の「確かめる方法」で紹介します。

「記載がない」と「影響がない」を分けて見る

BASE の発表は、2026年10月22日時点で「不正アクセスや情報漏えいは確認されていない」という内容です。「確認されていない」は「調べた範囲で見つかっていない」という意味で、将来の続報まで約束するものではありません。

たとえば、サービスの停止が予防のためだったとしても、後の調査で新しい事実が分かれば、運営会社は追加でお知らせを出します。逆に、サービスが止まった事実だけで、情報が漏れたと決めつけることもできません。

続報を見落とさないために、以下を習慣にしましょう。

• BASE のヘルプセンターの「障害・メンテナンス情報」
• BASE から届くメール（迷惑メールのフォルダも含む）
• お知らせの更新日時

上記を数日おきに確かめると、続報が出たときにすぐ気づけます。

自社のネットショップが PHP の脆弱性の対象か確かめる方法【4STEP】

自社のネットショップが PHP の脆弱性の対象かは、カートの種類・ショップ以外のサイト・連携ツール・PHP のバージョンの順に確かめると判断できます。BASE・Shopify だけを使っていれば、STEP1〜3で確認は終わります。

ネットショップを運営していると、ショップとは別にコーポレートサイトやキャンペーン用のページを持っていることがよくあります。ここでは、自社のサイト全体を4つの手順で確かめる方法を紹介します。

STEP	確かめること	対象なら
1	カートがサービス型か、自社サーバー型か	自社サーバー型なら STEP4 へ
2	ショップ以外に自社サイトがあるか	自社サイトの PHP を確かめる
3	PHP で動く連携ツール・アプリがあるか	開発元のお知らせを確かめる
4	PHP のバージョンと修正状況	修正版への更新を管理者に依頼する

【STEP1】カートがサービス型か、自社サーバー型かを確かめる

カートの種類は、サーバーを自社で契約しているかで見分けられます。BASE・Shopify・STORES・カラーミーショップのように、月額や手数料を払って使うサービス型なら、サーバーの修正はサービス側の仕事です。

一方、EC-CUBE・WooCommerce・Welcart のように、自社で契約したサーバーにカートのソフトを置く形は自社サーバー型です。自社サーバー型は PHP で動くものが多く、今回の脆弱性の対象になりえます。EC-CUBE を使っている場合は、EC-CUBE のバージョンアップと脆弱性もあわせて確かめてください。

【STEP2】ショップ以外の自社サイトを確かめる

ショップ以外に、WordPress で作ったコーポレートサイト・ブログ・採用ページ・LP（広告用のページ）がないかを確かめます。BASE・Shopify で売っていても、自社サイトはレンタルサーバーの上で PHP を使って動いていることが多いためです。

たとえば、「会社案内はWordPress、販売はBASE」という構成なら、BASE は対象外でも WordPress のサイトは対象になりえます。自社サイトの PHP のバージョンは、自社HPの PHP バージョンを確認する方法で調べられます。

【STEP3】PHP で動く連携ツール・アプリを確かめる

ショップにつないでいる受注管理・在庫管理・メール配信・レビューなどのツールを書き出し、各ツールのお知らせを確かめます。連携ツールはショップの注文や顧客の情報を扱うため、修正の状況を知っておく必要があります。

連携ツールの開発元がサーバーで PHP を使っていれば、BASE と同じように修正の対応が必要です。お知らせに「PHP」「脆弱性」「緊急メンテナンス」と書かれていれば、開発元がすでに対応しているかを読んで確かめましょう。

【STEP4】自社サーバー型なら PHP のバージョンと修正状況を確かめる

自社サーバー型のカートや自社サイトは、PHP が修正版（8.5.12／8.4.27／8.3.36／8.2.35 以降）かを確かめます。レンタルサーバーの場合は、表示されるバージョンが変わらないままサーバー会社が修正を当てていることもあるため、契約先のお知らせもあわせて読みます。

ただし、PHP 8.1 以前は公式のサポートが終わっていて、通常の修正版が出ません。PHP 8.1 以前で動いている場合は、サーバー会社の応急の修正に頼らず、新しいバージョンへ移る計画を立てましょう。

上記の4つの手順で、自社のどこに PHP があり、誰が直すのかが分かります。

BASE・Shopify のショップ運営者が今やること5つ

BASE・Shopify のショップ運営者が今やることは、PHP の更新ではなく、ショップの状態とアカウントの守りの確認です。今回の脆弱性はサービス側で対応されているため、ショップ運営者の手元で起きうるリスクに目を向けます。

大きなニュースのあとは、便乗した不審なメールや、乗っ取りを狙うログインの試みが増えます。ここでは、優先順位の高い順に5つを紹介します。

1. 公式のお知らせとメールを読む：停止の範囲・再開の時刻・続報を確かめる
2. メンテナンス前後の注文と売上を確かめる：止まっていた時間帯の注文・入金・キャンセルにおかしな点がないかを見る
3. 2段階認証を設定する：パスワードが漏れても、他人がログインしにくくなる
4. スタッフのアカウントと使っていないアプリを整理する：辞めた人のアカウントや、使っていないアプリの権限を残さない
5. 便乗の不審なメールに注意する：「メンテナンスの影響でパスワードの再設定が必要」などのメールのリンクは開かず、ブックマークから管理画面に入る

2段階認証の設定は、BASE と Shopify で仕組みが違います。BASE の2段階認証はショップオーナーのアカウントだけで設定でき、SMS か認証アプリで認証します。Shopify はスタッフが各自の個人アカウントで設定します。ストアオーナーはスタッフを一人ずつ必須にでき、全員をまとめて必須にできるのは Shopify Plus だけです。詳しくは Shopify の2段階認証はスタッフごと。オーナーが確かめる方法 で説明しています。

※2026年10月24日時点・BASE ヘルプ、Shopify ヘルプセンターより

Shopify のスタッフには、2段階認証を各自で設定するよう声をかけましょう。アカウントと権限の見直し方は、Shopify・BASE のショップで見ておくアカウントと権限の設定で詳しく解説しています。

あわせて読みたい
中小企業のホームページ、安全に持ち続けるための教科書

BASE・Shopify と PHP の脆弱性でよくある誤解

BASE・Shopify と PHP の脆弱性については、「どちらも危ない」「止まった＝漏れた」といった誤解が広がりやすい状況です。誤解のまま動くと、不要な移行や、本当に必要な対策の見落としにつながります。

SNS では、事実と推測が混ざった情報が短時間で広まります。ここでは、ショップ運営者が迷いやすい4つの誤解と、実際のところを表で整理します。

よくある誤解	実際のところ
Shopify も PHP で動いているから危ない	Shopify 本体は Ruby on Rails。PHP の脆弱性の対象ではない
BASE が止まったのは、情報が漏れたから	BASE は予防的な措置と説明し、不正アクセス・情報漏えいは確認されていないとしている
サービス型のカートなら、ショップ側の対策は何もいらない	サーバーの修正は不要。ただしアカウントの乗っ取り対策はショップ運営者の設定次第
今すぐ別のカートへ移さないと危ない	サービス型のカートは、サービス側が修正する。今回の脆弱性だけを理由に慌てて移す必要はない

※2026年10月24日時点・各社の公式発表より

とくに「今すぐ移行を」と急がせる連絡には注意が必要です。移行は費用も手間もかかるため、公式の情報を確かめ、自社の状況に合うかを落ち着いて判断しましょう。

一方、STEP2で見つけた自社サイトや、自社サーバー型のカートが古い PHP で動いていた場合は、早めの対応が必要です。「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

まとめ

• Shopify 本体は Ruby on Rails で動いていて、PHP の脆弱性（php2shell）の対象ではない
• BASE は PHP を使っていて、2026年10月21日〜22日に緊急メンテナンスで対応した。ショップ運営者が PHP を更新する必要はない
• 注意が要るのは、ショップとは別の自社サイト・PHP で動く連携ツール・EC-CUBE などの自社サーバー型カート
• ショップ運営者が今やるのは、お知らせと注文の確認、2段階認証、アカウントとアプリの整理、便乗メールへの注意

まずは4つの手順で、自社のどこに PHP があり、誰が直すのかを確かめましょう。