目次
スポンサーリンク
10月19日に変わるのは修正を受け取れる前提
Joomla向けEC拡張のJ2Store 3は、2026年10月19日にサポート終了日を迎えます。提供元は9月3日の告知で、終了日以降はセキュリティ修正を含む新たなリリースと3.x向けサポート対応を行わないと説明しています。今日発見された脆弱性の速報ではなく、事前に公表されていた終了日への到達を受けた注意喚起です。
告知の公表日は2026年9月3日、サポート終了日は10月19日、本記事の情報確認日は10月19日です。これらは別の意味を持つ日付です。終了時刻や地域別の切り替え時刻までは確認できていないため、特定の時刻を境に安全性が変わるとは説明しません。
本件は、J2Store 3を使うすべての店舗で侵害が発生したという発表ではありません。一方で、画面が正常に表示され、注文を受け付けられても、今後の不具合へ修正を受けられるとは限らなくなります。以下では公式資料にある移行条件と、本サイトが提案する運用上の判断を分けて整理します。
出典：J2Commerce｜J2Store 3のサポート終了告知
まず対象を特定する｜商品ページの見た目だけで判断しない
本サイトの提案として、最初に確認したいのは店舗名ではなく、実際に稼働するJoomla本体、J2Storeの系列、決済・配送拡張、独自改修の組み合わせです。管理画面の拡張一覧や保守台帳を使い、確認日時と担当者を記録します。権限がない場合は制作会社や保守会社へ確認を依頼し、外部から攻撃的な検査を行って調べる必要はありません。
同じ会社のドメインでも、本店、旧キャンペーン用店舗、検証用サブドメインが別の構成で動く場合があります。仮想例として、本店の移行を終えても、過去の購入者向けダウンロード画面だけが旧環境に残る状況を考えてください。トップページに新しいブランド名があっても、旧データを扱う処理がなくなったとは限りません。
棚卸しでは、新規注文を受ける入口、購入履歴、ファイル配信、決済通知、定期処理をそれぞれ挙げます。そのうえで「現在使う」「停止できる」「外部サービスから到達する必要がある」に分けると、公開を減らせる場所と、止めると業務に影響する場所を区別できます。WordPressだけで運営するサイトが、この告知だけを理由にJ2Storeの移行作業を行う必要はありません。
スポンサーリンク
過去の修正を適用することとサポート継続は別
提供元は9月のセキュリティ告知で、3.3.23、4.0.23、4.1.8を修正リリースとして案内しています。告知にはCSRF対策の不足、商品一覧のSQLインジェクション、ダウンロード処理のパストラバーサルなどが含まれます。これは過去の修正情報であり、10月19日に新たに公開された問題ではありません。
この修正履歴は、ECの安全性がログイン画面だけで決まらないことを示します。商品検索はデータベースへ、ダウンロードはサーバー上のファイルへ、決済通知は注文状態へつながります。処理ごとに守るべき対象が異なるため、管理者のパスワードを強化しただけでは、すべての問題への対応にはなりません。
本サイトの提案は、既知の修正適用状況の確認と、サポートされる構成への移行を別の作業として管理することです。3.xの過去の修正を適用しても、終了後の継続的な修正提供が再開するわけではありません。また、未適用が見つかったことだけで侵害を断定せず、ログや注文記録の調査が必要かを担当者と判断します。
出典：J2Commerce｜2026年9月のセキュリティリリース
すぐ移行できない場合は公開範囲と注文受付を判断する
以下は提供元が一律に命じる停止手順ではなく、本サイトによる暫定対応の提案です。移行が未完了なら、責任者が期限、公開する機能、監視方法、停止判断を文書化します。「繁忙期が終わるまで」のように終了条件のない例外にせず、移行担当と事業側が再判断する日を決めます。
まず不要な旧店舗や検証環境を公開から外し、管理画面は業務に必要な利用者へ制限します。新規注文の継続が必要か、商品案内だけへ切り替えられるかも検討します。管理画面を隠しても、公開側の検索・注文・ダウンロード処理は残るため、それだけで完了とはしません。
決済通知の遮断には特に注意が必要です。購入処理を止めた後でも、処理中の決済から通知が届く可能性を業務側で確認してください。通知を失えば、決済代行側では入金済みなのに店舗側では未確定という不整合を生みかねません。停止する入口と、照合のために維持する通信を区別し、代行会社の仕様に沿って判断します。
WAFやアクセス制限は補助策です。すべての欠陥を遮断できる保証や、サポート終了を取り消す効果はありません。制限を追加した場合も、正規の購入・通知・管理操作が失敗していないかを別途検証し、暫定措置を移行の代替にしないことが重要です。
スポンサーリンク
移行はJoomla本体と拡張の組み合わせで計画する
公式の3から4への移行資料は、Joomla 3とJ2Store 3の環境を対象とし、本番ではなく検証用コピーで試すよう警告しています。関連プラグインの互換性確認、完全バックアップ、Migration Checkerによる競合確認を含む段階的な手順です。独自拡張は開発元への確認が必要とされています。
J2Commerce 4をJoomla 6で使う資料では、J2Commerce 6は4への通常の更新ではなく、移行ツールを使う別の経路と説明されています。互換性プラグインや関連拡張の扱いも記載されているため、版番号が大きいものをそのまま上書きする方針は避けてください。参照資料が想定する出発点と、自分の構成が一致することを先に確認します。
本サイトの提案として、作業計画には「現在の構成」「中間段階」「最終的に維持する構成」を明記します。途中で起動することと、移行先として継続運用できることは別です。CMS、PHP、データベース、決済・配送拡張の条件を確認し、中間段階のまま公開運用へ戻さない計画にします。
また、自動移行が成功したという表示を、独自テンプレートや決済連携の動作保証と受け取らないことも大切です。構成が複雑なら、移行作業そのものと業務の受け入れ試験を別の担当で確認すると、データを運ぶ処理と実際の店舗機能の見落としを減らせます。
出典：J2Commerce公式ドキュメント｜J2Store 3から4への移行
注文を壊さないために移行前の基準を残す
本サイトが勧めるのは、バックアップの取得だけでなく、切り替え前に比較できる基準を残すことです。商品数、受注件数、未処理注文、在庫、クーポン残高など、店舗が使う項目を選び、集計条件と取得日時もそろえます。個人情報を含む検証用コピーはアクセスを限定し、外部送信や実決済が誤って動かないようにします。
例えば、移行前の全注文数と移行後の当月注文数を比べても検証になりません。同じ期間、同じ状態、同じ通貨など条件をそろえて比較します。金額は総額だけでなく、送料・税・割引・返金の扱いを確認します。一部の注文を抽出し、元記録から商品、顧客、支払い状況へたどれるかも調べます。
4から6への公式アダプター資料では、注文に先立って商品や顧客などを移行する依存関係が示されています。また、同期状態と件数を確認する仕組みがあり、旧テーブルの削除などには不可逆な操作として警告があります。移行直後に元データを消さず、業務検証と保管方針を確定してから整理してください。
本番で注文を受け続けながらコピーを作る場合は、コピー後に増えた注文の扱いも必要です。どの時点を最終データとするか、受付停止を設けるか、切り戻す場合に新しい注文をどう保全するかを決めます。単純に古いバックアップへ戻すだけでは、切り替え後の取引が失われるためです。
出典：J2Commerce公式ドキュメント｜J2Commerce 4 Migrator Adapter
公開再開の判定は画面表示より広くする
以下は本サイトが提案する受け入れ試験です。通常の購入に加え、ゲストと会員、配送先の変更、送料計算、クーポン、決済失敗、キャンセルなど、その店舗で実際に使う経路を確認します。テストは決済事業者が認める検証環境や方法で実施し、意図しない請求を発生させないでください。
デジタル商品を扱うなら、購入者が正しいファイルを受け取れることに加え、未購入者や別の利用者から見えないことを確認します。メール通知は届くかだけでなく、旧店舗へのリンクや不要な個人情報が残っていないかを点検します。旧URLを残す場合は、古い実行プログラムを残す必要があるのか、案内や転送に置き換えられるのかも検討します。
運用再開後は、注文エラー、決済側との照合差異、通知の失敗、想定外の管理操作を確認する担当を置きます。これは侵害があると仮定するためではなく、移行不具合とセキュリティ上の異常を早く見分けるためです。異常があれば証拠となる記録を保全し、原因が分からないままログを消して再インストールする対応は避けます。
今日決めるべきことと確認できていないこと
今回の注意喚起の中心は、個別CVEの緊急修正ではなく、J2Store 3への修正提供が終了するという運用条件の変化です。特定店舗の侵害、全国的な被害件数、AIによる悪用は本記事で確認しておらず、断定しません。各サイトの構成や独自改修を、この調査だけで診断したものでもありません。
対象であれば、まず稼働構成と公開入口を確認し、次にデータ保全と移行計画、最後に切り替え後の業務検証を進めてください。間に合わない場合は、何を公開したままにするかを責任者が判断します。サポート終了日は単なるカレンダーの印ではなく、今までと同じ保守の前提で運用を続けてよいかを見直す節目です。
Joomla 6上の互換性に関する出典：J2Commerce公式ドキュメント｜Joomla 6でのJ2Commerce 4利用
スポンサーリンク
