🌐 言語: 🇻🇳 Tiếng Việt · 🇬🇧 English · 🇯🇵 日本語（現在）

S-Cart のリリースとセキュリティ

はじめに

このページは S-Cart（3.x 系）のサイト運営者・管理者向けです。サイトが安全かどうか、各リリースの新機能、更新方法がわかります。 最新リリース: S-Cart 3.3.1（2026-10-29）。

サイトは安全ですか？

php artisan gp247:info（または composer show "gp247/*"）を実行し、各行を 安全な最低バージョン の列と比べます。

パッケージ 安全な最低バージョン 最新
gp247/core 3.5.0 3.5.0
gp247/front 3.2.3 3.3.0
gp247/shop 3.3.1 3.3.1
  • 「安全な最低バージョン」より低い → すぐに更新してください。
  • 達している → S-Cart を再インストールしていなくても、サイトは安全です。

⚠️ 注意: セキュリティ修正を受けられるのは 3.x 系のみです。2.x で稼働中のサイトは 3.x へ移行してください。 3 つのパッケージを同時に更新してください: gp247/shop 3.3.1 には gp247/core 3.3 以上、gp247/front 3.2.3 には gp247/core 3.2.3 以上が必要です。

注目の新機能

  • 管理画面のお問い合わせ受信箱 — お客様からのメッセージを管理画面でまとめて確認できます (S-Cart 3.3)
  • API 画面で REST API をオン／オフ — 設定ファイルの編集は不要です (S-Cart 3.3)
  • ログイン試行回数の制限 — 管理画面のパスワードの総当たりを防ぎます (S-Cart 3.3)
  • 送り状付きの標準配送 — 配送状況を注文画面で確認できます (S-Cart 3.2)
  • 日本語と日本円 — 新規インストール時から利用できます (S-Cart 3.2)

更新方法

手順 1 — データベースとサイトのフォルダーをバックアップします。

手順 2 — コードを更新します。

composer update gp247/core gp247/front gp247/shop

手順 3 — データ・設定・キャッシュの更新を適用します。

php artisan gp247:update

手順 4 — php artisan gp247:info でバージョンを再確認します。

リリースによっては追加の対応が必要です。下記の各リリースの 📋 更新時の対応 をご覧ください。 詳しい手順は GP247 の更新をご覧ください。

リリース一覧

新しい順です。x.Y リリースは新機能を含み、x.y.Z リリースは不具合の修正のみです。

S-Cart 3.3.1 — 2026-10-29

Docker で運用しているサイト向けの修正リリースです。

🐞 不具合の修正: Web サーバーをセキュリティ修正が届く nginx の安定版チャネルに変更。使っていない PHP の機能を無効にし、 PHP2Shell のリスクを低減 （Docker で運用している場合）

📋 更新時の対応

  • （Docker で運用している場合） DOCKER.md の「Security updates」に 従って新しいイメージを取得し、再ビルドします

含まれるパッケージ: core 3.5.0 · front 3.3.0 · shop 3.3.1 · GitHub Release

S-Cart 3.3.0 — 2026-10-28

受信箱付きのお問い合わせフォームと、管理画面からの REST API のオン／オフ。

✨ 新機能

  • 管理画面のお問い合わせ受信箱 — お客様からのメッセージを管理画面でまとめて確認できます
  • REST API のオン／オフ — API 管理画面で API と各バージョンを切り替え。設定ファイルの編集は不要です （ドキュメント）
  • ログイン試行回数の制限 — 管理画面のパスワードの総当たりを防ぎます
  • 開発者向け: 商品・注文・バナー・ページの REST API v2（フィルター、最終価格付き）。すべての API 応答にログ検索用のリクエスト ID

🛡️ セキュリティ: 5 件の修正 — 詳細を見る。すぐに更新してください。

🐞 不具合の修正: SNS 共有画像（og:image）がページの画像と異なっていた。管理用の注文 API が 500 を返していた

📋 更新時の対応

  • php artisan gp247:update を実行します — API キーをハッシュ化し、古いトークンに有効期限を設定します
  • GP247_API_LOGIN_THROTTLE → GP247_LOGIN_THROTTLE、GP247_API_LOGIN_IP_THROTTLE → GP247_LOGIN_IP_THROTTLE に名前を 変更します（旧名は読み込まれません）
  • API を呼び出すアプリ: ログアウトは POST で行います（GET は廃止予定）。順次 API v2 へ移行してください

含まれるパッケージ: core 3.5.0 · front 3.3.0 · shop 3.3.1 · GitHub Release

S-Cart 3.2 — 2026-10-23

日本語対応、送り状付きの標準配送、パッケージと一緒に更新されるストアフロントテーマ。

✨ 新機能

  • 標準配送 — 配送業者、送り状、区・町村。配送状況を注文画面で確認できます （ドキュメント）
  • 日本語と日本円（JPY） を新規インストール時から利用可能 — 日本市場での販売に対応 （ドキュメント）
  • GP247Front テーマをパッケージから直接読み込み — composer update だけで新しいデザインに。変更したいファイルだけを公開します （ドキュメント）
  • 決済画面に決済方法の案内 — お客様が振込方法を確認できます（ドキュメント）
  • お気に入り・比較 を商品ページで
  • 開発者向け: プラグインがテンプレートを持たずにストアフロントのブロックや差し込みポイントを追加可能。「使用前の確認」欄で プラグインに不足している設定を表示

🛡️ セキュリティ: 2 件の修正 — 詳細を見る。

🐞 不具合の修正: 商品カードのお気に入り／比較ボタンが表示されなかった。お気に入りから削除すると「too many redirects」になった。 ページリンクが縦に並んでいた

📋 更新時の対応

  • テーマ一式を公開済みのサイトは php artisan gp247:template-prune GP247Front --dry-run で、変更していないファイルを パッケージに戻せます

含まれるパッケージ: core 3.2.0 · front 3.2.0 · shop 3.2.0 · GitHub Release

S-Cart 3.1 — 2026-10-03

カート外の支払い依頼と、保存済みパスワード・決済キーの暗号化。

✨ 新機能

  • 支払い依頼 — オンライン決済リンクの送信、入出金の手入力、返金を注文なしで行えます （ドキュメント）
  • SMTP パスワードと決済ゲートウェイのキーを暗号化 してデータベースに保存。キー変更コマンド付き （ドキュメント）
  • ストアごとのプラグイン — 個別に設定・有効化 （マルチストアのサイト） （ドキュメント）
  • 管理画面の操作ログ — 誰が何を変更したかがわかります
  • 開発者向け: gp247:doctor が BOM 付きの PHP ファイルを報告。エラーレポートに発生元のサイトを記載

🛡️ セキュリティ: 3 件の修正 — 詳細を見る。

🐞 不具合の修正: メール／SMTP 設定が保存されないことがあった。メールアドレスのないお客様が重複扱いになった。注文合計の プロモーションコードが適用されなかった

📋 更新時の対応

  • php artisan gp247:update を実行します
  • （Docker で運用している場合） .env にサンプルのパスワードが残っていると本番環境は起動しません

含まれるパッケージ: core 3.1.0 · front 3.0.0 · shop 3.1.0 · GitHub Release

S-Cart 3.0.1 — 2026-09-04

📋 更新時の対応

  • 旧 sc:* コマンドは削除されました。対応する gp247:* コマンドを使ってください （ドキュメント）

含まれるパッケージ: core 3.0.0 · front 3.0.0 · shop 3.0.0 · GitHub Release

以前のリリース

リリース 日付 概要
S-Cart 3.0 2026-08-30 3.x 系の最初のリリース: 注文ごとの支払台帳、割引は税の前に差し引き — リリースノート v3.0

セキュリティ修正

問題の種類・影響範囲・修正済みリリースのみを記載し、悪用方法は記載しません。（…のサイト） と書かれた行は、その構成のサイトにのみ 影響します。括弧内の日付はパッケージの公開日で、composer update を実行したサイトはその日から安全です。

S-Cart 3.3.0 — 5 件の修正

問題 影響範囲 修正済み
総当たり攻撃、CSRF 管理画面のログイン試行回数に制限がなかった。ファイルマネージャーで他のサイトからファイルを変更できた core 3.5.0 · shop 3.3.1
価格改ざん カートにマイナスの数量を入れると注文合計が 0 になった core 3.5.0 · shop 3.3.1
秘密情報の露出 API 接続キーがデータベースに平文で保存されていた （API を有効にしたサイト） core 3.5.0 · shop 3.3.1
アクセス制御、データ漏えい、総当たり攻撃 REST API が役割・ストアの権限を無視し、原価・在庫を公開していた。ログイン回数の制限がなく、トークンが失効しなかった （API を有効にしたサイト） core · front · shop 3.2.3 （2026-10-27）
認証 ロックされたお客様がログインできた core · front · shop 3.2.3 （2026-10-27）

S-Cart 3.2 — 2 件の修正

問題 影響範囲 修正済み
パストラバーサル、SSRF 信頼できないパッケージからのプラグイン／テンプレートのインストール core 3.1.2 （2026-10-21）
データ漏えい 他ストアのページ・リンクグループがサブストアの管理者に表示された （マルチストアのサイト） front 3.0.1 （2026-09-02）

S-Cart 3.1 — 3 件の修正

問題 影響範囲 修正済み
秘密情報の露出 プラグイン設定画面に保存したパスワード・キーがブラウザーに送られていた core 3.0.14 （2026-09-29）
データ漏えい 管理画面のホームで全ストアの売上・注文がサブストアの管理者に表示された （マルチストアのサイト） shop 3.0.18 （2026-09-28）
データ漏えい 注文作成時に他ストアのカテゴリー・商品がサブストアの管理者に表示された （マルチストアのサイト） shop 3.0.2 （2026-09-02）

サーバーソフトウェア（PHP・Web サーバー）

PHP と Web サーバーの不具合は GP247 のリリースではなく各提供元が修正します。こちらも最新の状態に保ってください。

問題 深刻度 修正済みの PHP
PHP2Shell — リモートコード実行（CVE-2026-109618、CVE-2026-109619）· 2026-10-21 緊急 8.3.36 · 8.4.27 · 8.5.12

対応方法

  • PHP バージョンの確認: php -v、または 管理画面 → サーバー情報。
  • 公式リリースの PHP（php.net、公式 Docker イメージ、バージョンを選べる多くのコントロールパネル）: 使用中のブランチの 修正済みバージョン以降に更新します。
  • Linux ディストリビューション（Ubuntu、Debian、RHEL など）やホスティング事業者が管理する PHP: 古いバージョン番号のまま 修正が適用されることが多く、バージョン番号だけでは安全かどうか判断できません — OS の最新アップデートを適用するか、 CVE-2026-109618 と CVE-2026-109619 が修正済みか事業者に確認してください。
  • すぐに更新できない場合: php.ini で session.upload_progress.enabled = Off を設定し（GP247 はこの機能を使いません）、 PHP を再起動します。リスクは下がりますが、更新の代わりにはなりません。
  • Docker で運用している場合: DOCKER.md の「Security updates」に 従ってください。

脆弱性の報告

脆弱性を見つけた場合は、support@gp247.net へメールでお知らせください。修正版の公開前に問題が広まらないよう、GitHub の公開 Issue は 使わないでください。

📅 最終更新: 2026-10-31 · ✍️ 作成者 (Author): GP247