本記事は 2026年10月22日昼（日本時間）時点 の情報です。PHPの修正版は日本時間10月21日23時に公開済みですが、各社の対応状況や悪用の状況は変わり続けています。新しい情報が出次第、更新します。

2026年10月21日夜、PHPの重大な脆弱性への対応で、国内のネットショップ作成サービスやゲーム、銀行サイトなどが相次いで緊急メンテナンスに入りました。ネットショップ運営者の中には、「Shopifyで運営しているけれど、うちは大丈夫なのか」と不安になった方も多いと思います。

この記事では、PHP公式やセキュリティ企業、国内報道などの情報をもとに、Shopifyは今回のPHPの脆弱性の影響を受けるのか、ストア運営者は何を確認すればよいのか を整理します。

先に結論

• Shopify本体は、PHPで動いていないと見られます。 開発元の技術記事では、Shopifyの中核は Ruby on Rails（Rubyのフレームワーク）で作られていると説明されています。そのため、PHPの脆弱性が Shopify本体を直接狙うものではないと考えられます
• ただし、Shopify自身が今回のPHPの脆弱性について声明を出しているかは、調べた範囲では確認できませんでした。 上記は、技術構成から見た判断です
• 一方で、Shopifyストアの「周辺」にPHPが使われていれば、そこは影響を受けます。 具体的には、外部のアプリ、決済・配送などの連携サービス、同じ会社が運用するWordPressのブログやLP、制作会社が作ったカスタムシステムです
• 運営者が今やることは、PHPの更新ではなく、「PHPで動いているものが周辺にないか」の棚卸し です

何が起きたのか（おさらい）

PHP開発チームは、2026年10月21日（協定世界時14:00、日本時間23時）に、緊急のセキュリティ修正版を公開しました。PHP公式によると、概要は次のとおりです。

項目	内容
脆弱性	2件。いずれもCVSS v4.0で9.2（深刻度「緊急」）
CVE-2026-109618	メモリ不足の処理が途中で中断された際に、内部データが不完全な状態のまま後処理に使われるおそれがある問題
CVE-2026-109619	解放済みのメモリに対応する内部状態が残り、別のリクエストの処理で使われるおそれがある問題
影響する環境	Webリクエストを処理するPHP環境すべて（PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど）。特にmod_phpのリスクが最も高いとされる
修正版	PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35
古いバージョン	PHP 8.1以前には、PHPプロジェクトの通常の更新は提供されない。ただし、7.4・8.0・8.1向けに最小限のバックポート（修正の移植版）が公開されている

PHP公式は、更新が唯一の完全な対策で、設定変更などの暫定策は「完全な対策ではない」としています。

悪用の状況については、報道によると、パッチ公開前からCloudflareが初期の攻撃試行を確認したほか、watchTowrも10月21日14:19（協定世界時）の更新で「悪用の試み」を観測したと伝えられています。ただし、特定のサーバーが実際に侵入されたという報告は、確認できた時点の記事にはありませんでした。

今回の脆弱性は PHPそのもの にあるため、WordPressやプラグインを最新にしても防げません。PHP本体の更新が必要です。

ShopifyはPHPで動いている？

Shopify本体はRuby on Rails

Shopify自身が公開している技術記事（Shopify Engineering、2020年9月）では、Shopifyの中核は Rubyで書かれたRailsアプリケーション（モノリス） で、280万行以上のRubyコードがあると説明されています。この記事では、ストアフロントの表示処理と、クレジットカード情報の保管処理が、別のサービスとして切り出されていることも書かれています。

また、技術解説記事（ByteByteGo）でも、Shopifyのバックエンドは Ruby on Rails で、Rust、Go、TypeScript、Pythonなども使われているとされています。どちらの記事にも、PHPを使っているという記述はありません。

ただし、前者は2020年の記事です。現在の構成を、Shopifyが今回の件に合わせて確認・公表したものではない点 には注意してください。

テーマ（Liquid）でもPHPは動かない

Shopifyのテーマは Liquid というテンプレート言語で作られており、テーマの中でPHPのスクリプトを実行することはできません。Shopifyのコミュニティでも、運営者が「PHPをテーマに追加する必要はない」という趣旨のやり取りがありました（これは利用者同士の回答で、Shopifyの公式回答ではありません）。

つまり、運営者がShopifyの管理画面から、PHPのバージョンを更新する必要はありません。

Shopifyは「ホスト型」なので、サーバーの更新は不要

WordPressなどと違い、Shopifyはサーバーの管理をShopify側が行う「ホスト型」です。複数のEC関連記事も、ShopifyやBigCommerceのようなホスト型サービスは、運営者側にPHPのサーバーがないため、パッチ適用の対象外としています。

国内で止まったサービスとは何が違う？

10月21日夜には、報道によると次のようなサービスがメンテナンスに入りました。

• ネットショップ作成サービス：BASE、makeshop、カラーミーショップなど
• レンタルサーバー：さくらインターネットの一部サービスなど
• その他：niconico、pixiv、DMM.com、人気ゲーム、保育園向けSaaS、一部の銀行のネットバンキングなど

報道では、これらはPHPの脆弱性への対応として、修正版が公開される前後に予防的にサービスを止めたとされています。各社が自社のサーバーでPHPを動かしていたため、とみられますが、個々のサービスの内部構成は各社から詳しく公表されていません。

Shopifyのようにサーバーの構成が違う場合、同じ理由で止まる可能性は低いと考えられます。ただし、止まらないことと、周辺まで含めて影響がないことは別の話 です。次の章で説明します。

Shopifyストアでも影響が出うる4つの場所

Shopifyストアは、多くの場合、Shopify本体だけで完結していません。次の4つは、PHPで動いている可能性があります。

1. 外部のアプリ

Shopifyのアプリには、Shopify内で完結するタイプのほかに、アプリの提供会社が自社のサーバーで動かしているもの があります。この場合、顧客情報や注文情報が、提供会社のサーバーにも渡っています。

そのサーバーがPHPで作られていて、修正版が適用されていなければ、アプリの提供会社側から情報が漏れるおそれがあります。ShopifyはPHP向けのアプリ開発ライブラリを公開しており、Laravel（PHPのフレームワーク）でアプリを作る解説も出ています。PHPで作られたアプリが存在してもおかしくありません。

反対に、日本のアプリ提供会社の中には、すでに公式に「影響なし」と案内しているところもあります。たとえば定期購入アプリの「GO SUB」を提供するGO RIDEは、アプリ本体もShopifyとのAPI連携もPHPを使っておらず、影響はないと10月22日付で告知しています（提供元による自己評価です）。

2. 決済・配送・基幹システムなどの連携サービス

Shopifyと連携する外部サービス（決済代行、後払い、配送、在庫、会計、ポイントなど）も、運営者からは見えないところでPHPを使っている可能性があります。

実際に、SaaS型のECプラットフォームで運営していると説明するあるオンラインストアが、10月22日0時台の告知で、「サイト全体は営業を続けているが、一部の連携サービスは影響の可能性を考えて予防的に停止しており、一部の決済方法が使えない場合がある」と案内していました（この告知は、基盤の名前を明記していません）。

ストア自体は動いていても、決済方法や連携機能が止まる ことはありえます。

3. 同じ会社が運用するWordPressのブログやLP

「ストアはShopifyだが、ブログやコーポレートサイトはWordPress」というケースは多いです。この場合、WordPress側は、今回の脆弱性の影響を直接受けます。 PHPが動いているのは、そのサーバーだからです。

ECの専門メディアも、Shopifyで直接パッチを当てる対象はないが、PHPで動く「サイドサイト」（WordPressのブログやランディングページ）や連携アプリには影響がありうると指摘しています。

WordPressのサーバーを更新する手順は、前回の記事「PHPの脆弱性でWordPressはどうなる？」で解説しています。

4. 制作会社が作ったカスタムアプリや独自システム

制作会社に依頼して作った、独自の連携システムや管理ツールが、別のサーバーで動いていることがあります。担当者が退職していて、誰が保守しているのか分からなくなっているケースもあります。

こうしたシステムはPHPで作られている可能性があり、自分のストアで使っているかどうかを、運営者が把握していない ことが最大のリスクです。

運営者が確認すること（手順）

手順1：導入しているアプリを棚卸しする

Shopifyの管理画面で、［設定］→［アプリ］を開きます。各アプリの詳細画面で、次の2つを確認できます。

• ［アクティビティと権限］：どこまで読み書きできるか
• ［プライバシー］：どんな個人情報を扱うか

注意点として、権限が表示されていても、実際に取得したとは限りません。また、使っていないように見えるアプリが、裏で在庫や発送の連携を担っている場合もあります。いきなり削除せず、用途を確認してください。

手順2：アプリの提供会社に4点を確認する

提供会社のお知らせやリリースノート、稼働状況のページをまず見ます。見つからなければ、アプリ詳細画面のサポート先に問い合わせます。確認する内容は、次の4点です。

1. 今回のPHPの脆弱性の影響があるか
2. 修正済みか
3. ストア側で必要な作業があるか
4. データの保存先はどこか

なお、告知が見つからないだけで「未対応」と決めつけず、問い合わせて確認するのがよいでしょう。

手順3：決済・配送などの連携サービスの状況を確認する

利用中の決済代行会社、後払いサービス、配送・在庫・会計の連携サービスのお知らせを確認します。予防的な停止が案内されていれば、再開の予定も確認してください。決済方法が一時的に使えない場合は、ストアのお知らせで購入者に周知する必要があるかもしれません。

手順4：同じ会社のWordPressや独自サーバーを確認する

ストア以外のサイトやシステムがPHPで動いていないかを確認します。動いている場合は、サーバー会社の対応状況を確認し、自分で管理しているサーバーは修正版に更新します。

• 修正版：PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35
• PHP-FPMやApacheを再起動する（再起動しないと古いコードのまま動き続けます）
• Linuxのパッケージ更新では、php -v の表示が古いままでも修正が入っていることがある。変更履歴にCVE-2026-109618が含まれているかで確認する
• PHP 8.1以前を使っている場合は、サポート中のバージョンへ移行するか、PHPプロジェクトが提供するバックポートを確認する

手順5：制作会社製のカスタムアプリの保守先を確認する

制作会社に、次の点を確認します。

• アプリの用途と、外部サーバーの有無
• 許可しているアクセス範囲
• 使用言語（PHPかどうか）
• 更新や稼働環境の管理者
• ソースコードやサーバー、アプリ登録アカウントの管理先

保守費を払っていないことだけで、危険だとは限りません。Shopify上の拡張だけで動き、外部サーバーを持たないアプリもあります。

手順6：管理画面のアクセスを見直す

これはPHPの件に限りませんが、この機会に確認しておくと安心です。

• ［設定］→［ユーザー］で、退職者や作業の終わった制作会社のアクセスを外す
• オーナーのログイン情報を共有せず、各自のアカウントを使う
• 2段階認証を設定する（パスキーも使えます）
• 「至急ログイン」などのメール内のリンクからは入力せず、普段のブックマークから管理画面を開く

「PHPとは別」に、Shopifyのアプリ周辺で起きていること

今回のPHPの件とは別に、Shopifyのアプリ周辺では、10月に入ってセキュリティの問題が報告されています。混同しないよう、分けて書きます。

国内のShopify開発会社などの記事によると、アプリの提供会社のSwym（Wishlist Plus）やLogbase（Selleasy）が、10月中旬に、第三者による設定の無断変更や不正なスクリプトの混入を公表したとされています。購入ボタンを押した人が、外部の偽の購入画面に転送された可能性があるという内容です。これらはいずれも、Shopifyの決済画面（Checkout）本体への侵入ではなく、アプリ側が狙われたものとされ、PHPの脆弱性との関係も確認されていません（私が確認したのは国内の解説記事までで、各社の原文は確認していません）。

Shopifyも10月20日付の開発者向けの声明で、アプリの開発者に、アプリのセキュリティを今週中に見直すよう呼びかけています。この声明にも、PHPへの言及はありません。

ここから言えるのは、Shopifyストアの「入口」はShopify本体より、アプリや管理画面のアカウントになりやすい、ということです。PHPの件をきっかけに、棚卸しをしておくことをおすすめします。

顧客情報やカード情報は大丈夫？

現時点で、Shopify本体が今回のPHPの脆弱性で侵害されたという報告は、調べた範囲では見つかりませんでした。

カード情報については、国内の解説記事によると、Shopifyの決済画面で処理され、ストア側には保存されないとされています。また、ShopifyはPCI DSS（カード情報の国際的なセキュリティ基準）の最上位レベルに準拠していると、自社で説明しているとのことです。ただし、これは解説記事を通じた情報で、私はShopify公式ページを直接確認できていません。 詳細は、Shopifyの公式ドキュメントでご確認ください。

一方で、顧客の名前、住所、メールアドレス、注文履歴は、管理画面や連携するアプリにあります。ここが、アプリの提供会社のサーバーや、管理画面のアカウントから漏れる可能性があります。

不審な動きに気づいたら

次のような異常があれば、棚卸しを待たずに対応してください。

• 購入手続きの途中で、見覚えのない画面に移る
• 見覚えのない端末から、管理画面にログインしたという通知が届く
• 身に覚えのない管理者アカウントやアプリが増えている
• 顧客から、偽の購入画面や不審なメールの報告がある

対応の流れは次のとおりです。

1. どのページで何を押して、どこへ移ったかを記録し、画面を保存する
2. Shopifyサポートに連絡する
3. 関係するアプリが分かれば、提供会社にも連絡する
4. 必要に応じて、アプリを一時的に無効にし、管理者のパスワードを変更する

よくある質問

Shopifyを使っていれば、PHPの更新は一切不要ですか？

Shopify本体については、運営者が更新する必要はありません。ただし、同じ会社が運用するWordPressなどのサイトや、外部のサーバーを使うアプリ、独自システム は、PHPで動いていれば対応が必要です。

Shopifyから、PHPの脆弱性についてのお知らせは出ていますか？

調べた範囲では、PHPの脆弱性に特化したShopifyの声明は見つかりませんでした。Shopifyが10月20日に開発者向けに出した声明は、アプリのセキュリティ全般についてのもので、PHPには触れていません。最新の情報は、Shopifyの公式のお知らせとステータスページで確認してください。

使っているアプリがPHPで動いているか、どうすれば分かりますか？

ユーザー側から調べるのは難しいので、アプリの提供会社に問い合わせるのが確実です。確認する4点は、本文の「手順2」を参考にしてください。

決済ができない、一部の機能が止まっているのは、Shopifyの障害ですか？

連携している外部サービスが、予防的に停止している可能性があります。決済代行会社や連携サービスのお知らせを確認してください。

パスワードは変更すべきですか？

PHPの脆弱性があるという理由だけで、すべてのパスワードを変える必要性は低いと考えられます。ただし、管理画面のパスワードの使い回しをしていないか、2段階認証が有効かの見直しは、この機会にしておくと安心です。連携しているアプリやサービスから侵害の通知が来た場合は、案内に従って、関連する認証情報を更新してください。

BASEやmakeshopなどで止まったのは、Shopifyでも起こりえますか？

今回止まったサービスの多くは、自社でPHPを使ったシステムを運用していたため、予防的に止めたとみられます。Shopifyは構成が違うため、同じ理由で止まる可能性は低いと考えられます。ただし、アプリや連携サービス側の停止の影響は受けることがあります。

まとめ

• Shopify本体は、技術構成（Ruby on Rails）から見て、PHPの脆弱性の直接の対象ではない と考えられる。ただし、Shopify自身がPHPの件で声明を出しているかは確認できていない
• 運営者がPHPを更新する必要はないが、アプリ、連携サービス、WordPressなどの周辺、制作会社製のシステム にPHPが使われていれば、そこは影響を受ける
• やることは、アプリと連携サービスの棚卸し、提供会社への4点の確認、同じ会社のPHPサイトの更新
• 10月に報告されているアプリ周辺の被害は、PHPとは別件。管理画面のアカウントとアプリの権限の見直し も、あわせて行うとよい

更新履歴

• 2026年10月22日：初版公開