GP247 と S-Cart の更新

🌐 言語: 🇻🇳 Tiếng Việt · 🇬🇧 English · 🇯🇵 日本語（現在）

S-Cart のリリースとセキュリティ

はじめに

このページは S-Cart（3.x 系）のサイト運営者・管理者向けです。各リリースの新機能、推奨バージョン、更新方法がわかります。 最新リリース: S-Cart 3.5.2（2026-11-07）。

推奨バージョン

php artisan gp247:info（または composer show "gp247/*"）を実行し、各行を 推奨最低バージョン の列と比べます。

パッケージ 推奨最低バージョン 最新
gp247/core 3.10.3 3.10.3
gp247/front 3.2.3 3.5.2
gp247/shop 3.8.1 3.8.1
gp247/mcp 2.0.1 2.0.1
  • 「推奨最低バージョン」より低い → 更新をおすすめします。
  • 達している → S-Cart を再インストールしていなくても、重要な改善はすべて適用済みです。
  • サードパーティライブラリ → あわせて composer audit を実行してください。サードパーティライブラリを参照。

⚠️ 注意: すべてのパッケージを同時に更新してください: gp247/shop 3.8.1 には gp247/core 3.10.3 以上、gp247/mcp 2.0.1 には gp247/core 3.9 以上、gp247/shop 3.6.0 には gp247/core 3.7 以上、gp247/front 3.2.3 には gp247/core 3.2.3 以上が必要です。サポート中の系列は サポート期間 をご覧ください。

サポート期間

系列 基盤 状態 セキュリティ修正の期限
3.x Laravel 13 · PHP 8.3 以上 ✅ サポート中 2028 年 3 月
2.x 以前 Laravel 12〜13 ⛔ サポート終了 —
  • 新機能 は最新の系列にのみ追加されます。
  • 新しい系列が出たとき: 前の系列は重大な不具合の修正をさらに 6 か月、セキュリティ修正を表の期限まで受けられます。期限は、 その系列が使う Laravel のセキュリティサポート期限を超えません。
  • 2.x 以前で稼働中のサイト: 動作は続きますが、修正は提供されません。2.1 / 2.2 のサイトは composer require … -W と php artisan gp247:update で 3.x に移行できます — 3.x 系へのアップグレード をご覧ください。

注目の新機能

  • システムアラート — 安全でない設定を管理画面が自動で知らせます (S-Cart 3.5.1)
  • S-Cart に組み込まれた MCP サーバー — お使いの AI エージェントでショップに質問・管理できます (S-Cart 3.5)
  • エージェントが代わりに調べます — 売上、在庫僅少、注文、顧客を、権限どおりに (S-Cart 3.5)
  • 書き込みは必ず確認付き — 注文ステータスや在庫を変える前にプレビュー (S-Cart 3.5)

更新方法

手順 1 — データベースとサイトのフォルダーをバックアップします。

手順 2 — コードを更新します。

composer update gp247/core gp247/front gp247/shop gp247/mcp

S-Cart 3.5.0 より前にインストールしたサイトにはまだ MCP サーバーがありません。上のコマンドの代わりに composer require gp247/mcp -W を 1 回実行してください。

手順 3 — データ・設定・キャッシュの更新を適用します。

php artisan gp247:update

手順 4 — php artisan gp247:info でバージョンを再確認します。

リリースによっては追加の対応が必要です。下記の各リリースの 📋 更新時の対応 をご覧ください。 詳しい手順は GP247 と S-Cart の更新をご覧ください。

リリース一覧

新しい順です。x.Y リリースは新機能を含み、x.y.Z リリースは不具合の修正のみです。

S-Cart 3.5.2 — 2026-11-07

Docker で運用しているサイトや、プロキシ / CDN の背後にあるサイトは特に、すぐに適用したい改善リリースです。

✨ 新機能

  • TRUSTED_PROXIES の警告 — プロキシ設定がすべての訪問者を信頼している場合、システムアラートページと gp247:doctor が 知らせます（ドキュメント）

🔧 改善: パスワード再設定リンクとメール確認リンクは常にストアの設定済みドメインを指します。訪問者の IP とドメインは宣言済みの プロキシからのみ受け取ります。Docker 構成は初期状態でどのプロキシも信頼しません （Docker で運用）。

📋 更新時の対応

  • composer update を実行し、続けて php artisan gp247:update
  • .env の APP_URL が実際のドメイン（https://…）であることを確認 — メール内のリンクはこの値を使います
  • （プロキシ / CDN の背後のサイト） プロキシは Host ヘッダーを維持する必要があります。GP247 は X-Forwarded-Host / X-Forwarded-Prefix を読まなくなりました
  • （同じサーバー上の nginx / Caddy / Traefik の背後で Docker を運用） composer update はサイトのファイルを変更しません。新しい docker-compose*.yml と docker/nginx/default.conf を取り込み、.env に TRUSTED_PROXIES=172.16.0.0/12 と SC_DOCKER_APP_PORT=127.0.0.1:8000 を設定してから docker compose up -d を実行
  • （TRUSTED_PROXIES に REMOTE_ADDR や * がある場合） 実際のプロキシの IP 範囲に置き換えるか、空にしてください
  • （CheckIP プラグインを使っているサイト） CheckIP を 2.1.7 以上に更新

含まれるパッケージ: core 3.10.3 · front 3.5.2 · shop 3.8.1 · mcp 2.0.1 · GitHub Release

S-Cart 3.5.1 — 2026-11-05

安全でない設定を管理画面が知らせ、Web インストーラーもシンプルに。

✨ 新機能

  • システムアラート — ダッシュボードに安全でない設定（デバッグ、HTTPS、管理者の初期パスワード、MFA…）を要約し、詳細ページと 対処方法を表示します。Administrator のみ（ドキュメント）
  • Web インストールが 1 回で完了 — 管理者のユーザー名を指定でき、インストーラーで入力したアカウントが初期アカウントに置き換わります
  • 2 カラムのフォームがすっきり — 編集中はフォームの見出しに「+ 新規作成」。一覧はページとキーワードを保持します （core の 管理画面）
  • 開発者向け: gp247:doctor が同じセキュリティチェックを実行します（WARN/PASS、終了コードは変わりません）。ほかのパッケージも チェックを追加できます

🛡️ サードパーティライブラリ: Livewire 4.4.8 と symfony/mime 7.4.22 で公開済みの 2 件の問題が修正されています — 詳細。 すぐに更新してください。

🔧 改善: gp247:update で「システムアラート」ブロックが 1 つだけになりました。削除ボタンで残った拡張機能のフォルダーを 削除できるようになりました。別の行を編集しても検索付きセレクトが開かなくなりました。

📋 更新時の対応

  • composer update（Livewire 4.4.8 以上、symfony/mime 7.4.22 以上を取得）を実行し、続けて php artisan gp247:update
  • （SESSION_DRIVER が file 以外のサイト） 更新後、すべてのユーザーが 1 回ログインし直す必要があります

含まれるパッケージ: core 3.10.2 · front 3.5.2 · shop 3.7.0 · mcp 2.0.1 · GitHub Release

S-Cart 3.5.0 — 2026-11-03

MCP サーバーを組み込み：お使いの AI エージェントでショップに質問・管理。

✨ 新機能

  • S-Cart に組み込まれた MCP サーバー — Claude、Cursor、VS Code をショップに接続し、普通の言葉で質問できます。初期状態はオフです （ドキュメント）
  • エージェントが代わりに調べます — 売上、在庫僅少、注文、顧客、最近の変更。アカウントの権限どおりです
  • 書き込みは必ず確認付き — 注文ステータス、配送ステータス、入出庫は、プレビューしてから実行します。初期状態はオフです
  • 拡張機能ライブラリに「Core X.Y+」を表示 — 拡張機能に必要な core のバージョンがすぐわかります
  • 開発者向け: gp247:mcp-install / gp247:mcp-update / gp247:mcp-uninstall、gp247:info に gp247/mcp を表示、 manifest キー minUpdateFrom が requireUpdateFrom に代わります（旧キーも引き続き読み込みます）

📋 更新時の対応

  • （S-Cart 3.5.0 より前にインストールしたサイト） composer require gp247/mcp -W を 1 回実行し、続けて php artisan gp247:update
  • （McpServer プラグインを使用中） gp247:update がトークン・設定・権限を移行します。その後 php artisan gp247:ext-uninstall --type=plugin --key=McpServer --purge でプラグインのフォルダーを削除します。MCP の画面は システム設定 → MCP Server にあります

含まれるパッケージ: core 3.9.0 · front 3.5.2 · shop 3.7.0 · mcp 2.0.1 · GitHub Release

S-Cart 3.4.0 — 2026-11-02

独自アプリでの販売と、REST API による ERP 連携。

✨ 新機能

  • 独自アプリでの販売 — ストアのアプリが API でカートを保持し、注文・オンライン決済まで行えます。サイト運営者が 「API による注文」を有効にします（ドキュメント）
  • アプリ内のお客様アカウント — 会員登録、パスワード再設定、プロフィール、住所録。リフレッシュトークンでログインを長く維持
  • ERP・在庫管理ソフトとの連携 — 注文状態、追跡番号、価格、在庫を管理用 API で更新。管理画面と同じ権限で制御されます
  • イベントログと Webhook — 注文・在庫・商品・お客様の変更を ERP がすぐに把握できます。初期設定ではオフ
  • アプリの表示が速く — 必要な項目だけを取得。変更のないデータは再ダウンロードしません（304）
  • 開発者向け: API ログインの二要素認証（MFA）用の差し込みポイント。重複書き込みを防ぐ Idempotency-Key。API の廃止ポリシー。 openapi.json から TypeScript クライアントを生成

🔧 改善: 在庫切れの商品に購入ボタンが表示されていた。会員登録とパスワード変更で空のパスワードが通っていた。 Accept ヘッダーがないと API が 500 を返していた

📋 更新時の対応

  • php artisan gp247:update を実行します — API セッション、イベントログ、Webhook のテーブルと同期用インデックスを作成します
  • （在庫管理をオンにして在庫を入力していない場合） 在庫管理 をオフにするか 在庫切れでも販売 をオンにします。そうしないと 在庫 0 の商品から購入ボタンが消えます
  • （複数のアプリで 1 つの API アカウントを共有している場合） 毎分 1000 回の制限がアカウント単位になりました — アカウントを 分けるか GP247_API_THROTTLE を引き上げてください

含まれるパッケージ: core 3.8.0 · front 3.5.0 · shop 3.7.0 · GitHub Release

S-Cart 3.3.1 — 2026-10-29

受信箱付きのお問い合わせフォームと、管理画面からの REST API のオン／オフ。

✨ 新機能

  • 管理画面のお問い合わせ受信箱 — お客様からのメッセージを管理画面でまとめて確認できます
  • REST API のオン／オフ — API 管理画面で API と各バージョンを切り替え。設定ファイルの編集は不要です （ドキュメント）
  • ログイン試行回数の制限 — 管理画面のパスワードの総当たりを防ぎます
  • 開発者向け: 商品・注文・バナー・ページの REST API v2（フィルター、最終価格付き）。すべての API 応答にログ検索用のリクエスト ID

🔧 改善: SNS 共有画像（og:image）がページの画像と異なっていた。管理用の注文 API が 500 を返していた。Web サーバーを nginx の安定版チャネルに変更し、使っていない PHP の機能を無効化 （Docker で運用している場合）

📋 更新時の対応

  • php artisan gp247:update を実行します — API キーをハッシュ化し、古いトークンに有効期限を設定します
  • GP247_API_LOGIN_THROTTLE → GP247_LOGIN_THROTTLE、GP247_API_LOGIN_IP_THROTTLE → GP247_LOGIN_IP_THROTTLE に名前を 変更します（旧名は読み込まれません）
  • API を呼び出すアプリ: ログアウトは POST で行います（GET は廃止予定）。順次 API v2 へ移行してください
  • （Docker で運用している場合） DOCKER.md の「Security updates」に 従って新しいイメージを取得し、再ビルドします

含まれるパッケージ: core 3.5.0 · front 3.3.0 · shop 3.3.1 · 3.3.0（2026-10-28）を含む · GitHub Release

以前のリリース

リリース 日付 概要
S-Cart 3.2 2026-10-23 日本語対応、送り状付きの標準配送、パッケージと一緒に更新されるストアフロントテーマ
S-Cart 3.1 2026-10-03 カート外の支払い依頼、保存済みパスワード・決済キーの暗号化
S-Cart 3.0.1 2026-09-04 旧 sc:* コマンドを削除、gp247:* コマンドを使用 — コマンド一覧
S-Cart 3.0 2026-08-30 3.x 系の最初のリリース: 注文ごとの支払台帳、割引は税の前に差し引き — リリースノート v3.0

セキュリティ

サイトを安全に保つには、更新だけでは足りません。設定、暗号化キー、バックアップ、アカウント、インシデント対応については GP247 システムのセキュリティ を参照してください。

GP247 は定期的にセキュリティを見直し、改善を各リリースに含めています。サイトを安全に保ついちばん簡単な方法は、 推奨バージョン以上を使い、新しいリリースが出たら更新することです。

サーバーソフトウェア（PHP・Web サーバー）

PHP と Web サーバーの不具合は GP247 のリリースではなく各提供元が修正します。こちらも最新の状態に保ってください。

問題 深刻度 修正済みの PHP
PHP2Shell — リモートコード実行（CVE-2026-109618、CVE-2026-109619）· 2026-10-21 緊急 8.3.36 · 8.4.27 · 8.5.12

対応方法

  • PHP バージョンの確認: php -v、または 管理画面 → サーバー情報。
  • 公式リリースの PHP（php.net、公式 Docker イメージ、バージョンを選べる多くのコントロールパネル）: 使用中のブランチの 修正済みバージョン以降に更新します。
  • Linux ディストリビューション（Ubuntu、Debian、RHEL など）やホスティング事業者が管理する PHP: 古いバージョン番号のまま 修正が適用されることが多く、バージョン番号だけでは安全かどうか判断できません — OS の最新アップデートを適用するか、 CVE-2026-109618 と CVE-2026-109619 が修正済みか事業者に確認してください。
  • すぐに更新できない場合: php.ini で session.upload_progress.enabled = Off を設定し（GP247 はこの機能を使いません）、 PHP を再起動します。リスクは下がりますが、更新の代わりにはなりません。
  • Docker で運用している場合: DOCKER.md の「Security updates」に 従ってください。

サードパーティライブラリ

GP247 が使うライブラリ（Livewire、Symfony など）の不具合は各ライブラリの提供元が修正します。必要に応じて GP247 は最低バージョンを引き上げます。 下の 2 件で影響を受ける機能は GP247 のコードでは使っていませんが、サードパーティのプラグインが使う場合があります。更新をおすすめします。

問題 深刻度 修正済みのバージョン
Livewire — 権限チェックの回避（GHSA-mhf7-xp6r-6qrc） 中 livewire/livewire 4.4.8（core 3.10.2 で必須）
symfony/mime — メールヘッダーインジェクション（CVE-2026-45070） 中 symfony/mime 7.4.22

対応方法

  • 更新: composer update を実行し、composer show livewire/livewire symfony/mime で確認します。
  • すべてのライブラリをまとめて確認: composer audit で、公開済みの問題があるライブラリを一覧できます。

脆弱性の報告

脆弱性を見つけた場合は、support@gp247.net へメールでお知らせください。修正版の公開前に問題が広まらないよう、GitHub の公開 Issue は 使わないでください。

📅 最終更新: 2026-11-07 · ✍️ 作成者 (Author): GP247