GP247 システムのセキュリティ

🌐 言語: 🇻🇳 Tiếng Việt · 🇬🇧 English · 🇯🇵 日本語（現在）

S-Cart のリリースとセキュリティ

はじめに

このページは S-Cart（3.x 系）のサイト運営者・管理者向けです。各リリースの新機能、推奨バージョン、更新方法がわかります。 最新リリース: S-Cart 3.5.0（2026-11-03）。

推奨バージョン

php artisan gp247:info（または composer show "gp247/*"）を実行し、各行を 推奨最低バージョン の列と比べます。

パッケージ 推奨最低バージョン 最新
gp247/core 3.6.0 3.9.0
gp247/front 3.2.3 3.5.2
gp247/shop 3.6.0 3.7.0
gp247/mcp 2.0.1 2.0.1
  • 「推奨最低バージョン」より低い → 更新をおすすめします。
  • 達している → S-Cart を再インストールしていなくても、重要な改善はすべて適用済みです。

⚠️ 注意: すべてのパッケージを同時に更新してください: gp247/mcp 2.0.1 には gp247/core 3.9 以上、gp247/shop 3.6.0 には gp247/core 3.7 以上、gp247/front 3.2.3 には gp247/core 3.2.3 以上が必要です。サポート中の系列は サポート期間 をご覧ください。

サポート期間

系列 基盤 状態 セキュリティ修正の期限
3.x Laravel 13 · PHP 8.3 以上 ✅ サポート中 2028 年 3 月
2.x 以前 Laravel 12〜13 ⛔ サポート終了 —
  • 新機能 は最新の系列にのみ追加されます。
  • 新しい系列が出たとき: 前の系列は重大な不具合の修正をさらに 6 か月、セキュリティ修正を表の期限まで受けられます。期限は、 その系列が使う Laravel のセキュリティサポート期限を超えません。
  • 2.x 以前で稼働中のサイト: 動作は続きますが、修正は提供されません。composer update と php artisan gp247:update で 3.x に 移行してください — リリースノート v3.0 をご覧ください。

注目の新機能

  • S-Cart に組み込まれた MCP サーバー — お使いの AI エージェントでショップに質問・管理できます (S-Cart 3.5)
  • エージェントが代わりに調べます — 売上、在庫僅少、注文、顧客を、権限どおりに (S-Cart 3.5)
  • 書き込みは必ず確認付き — 注文ステータスや在庫を変える前にプレビュー (S-Cart 3.5)

更新方法

手順 1 — データベースとサイトのフォルダーをバックアップします。

手順 2 — コードを更新します。

composer update gp247/core gp247/front gp247/shop gp247/mcp

S-Cart 3.5.0 より前にインストールしたサイトにはまだ MCP サーバーがありません。上のコマンドの代わりに composer require gp247/mcp -W を 1 回実行してください。

手順 3 — データ・設定・キャッシュの更新を適用します。

php artisan gp247:update

手順 4 — php artisan gp247:info でバージョンを再確認します。

リリースによっては追加の対応が必要です。下記の各リリースの 📋 更新時の対応 をご覧ください。 詳しい手順は GP247 の更新をご覧ください。

リリース一覧

新しい順です。x.Y リリースは新機能を含み、x.y.Z リリースは不具合の修正のみです。

S-Cart 3.5.0 — 2026-11-03

MCP サーバーを組み込み：お使いの AI エージェントでショップに質問・管理。

✨ 新機能

  • S-Cart に組み込まれた MCP サーバー — Claude、Cursor、VS Code をショップに接続し、普通の言葉で質問できます。初期状態はオフです （ドキュメント）
  • エージェントが代わりに調べます — 売上、在庫僅少、注文、顧客、最近の変更。アカウントの権限どおりです
  • 書き込みは必ず確認付き — 注文ステータス、配送ステータス、入出庫は、プレビューしてから実行します。初期状態はオフです
  • 拡張機能ライブラリに「Core X.Y+」を表示 — 拡張機能に必要な core のバージョンがすぐわかります
  • 開発者向け: gp247:mcp-install / gp247:mcp-update / gp247:mcp-uninstall、gp247:info に gp247/mcp を表示、 manifest キー minUpdateFrom が requireUpdateFrom に代わります（旧キーも引き続き読み込みます）

📋 更新時の対応

  • （S-Cart 3.5.0 より前にインストールしたサイト） composer require gp247/mcp -W を 1 回実行し、続けて php artisan gp247:update
  • （McpServer プラグインを使用中） gp247:update がトークン・設定・権限を移行します。その後 php artisan gp247:ext-uninstall --type=plugin --key=McpServer --purge でプラグインのフォルダーを削除します。MCP の画面は システム設定 → MCP Server にあります

含まれるパッケージ: core 3.9.0 · front 3.5.2 · shop 3.7.0 · mcp 2.0.1 · GitHub Release

S-Cart 3.4.0 — 2026-11-02

独自アプリでの販売と、REST API による ERP 連携。

✨ 新機能

  • 独自アプリでの販売 — ストアのアプリが API でカートを保持し、注文・オンライン決済まで行えます。サイト運営者が 「API による注文」を有効にします（ドキュメント）
  • アプリ内のお客様アカウント — 会員登録、パスワード再設定、プロフィール、住所録。リフレッシュトークンでログインを長く維持
  • ERP・在庫管理ソフトとの連携 — 注文状態、追跡番号、価格、在庫を管理用 API で更新。管理画面と同じ権限で制御されます
  • イベントログと Webhook — 注文・在庫・商品・お客様の変更を ERP がすぐに把握できます。初期設定ではオフ
  • アプリの表示が速く — 必要な項目だけを取得。変更のないデータは再ダウンロードしません（304）
  • 開発者向け: API ログインの二要素認証（MFA）用の差し込みポイント。重複書き込みを防ぐ Idempotency-Key。API の廃止ポリシー。 openapi.json から TypeScript クライアントを生成

🐞 不具合の修正: 在庫切れの商品に購入ボタンが表示されていた。会員登録とパスワード変更で空のパスワードが通っていた。 Accept ヘッダーがないと API が 500 を返していた

📋 更新時の対応

  • php artisan gp247:update を実行します — API セッション、イベントログ、Webhook のテーブルと同期用インデックスを作成します
  • （在庫管理をオンにして在庫を入力していない場合） 在庫管理 をオフにするか 在庫切れでも販売 をオンにします。そうしないと 在庫 0 の商品から購入ボタンが消えます
  • （複数のアプリで 1 つの API アカウントを共有している場合） 毎分 1000 回の制限がアカウント単位になりました — アカウントを 分けるか GP247_API_THROTTLE を引き上げてください

含まれるパッケージ: core 3.8.0 · front 3.5.0 · shop 3.7.0 · GitHub Release

S-Cart 3.3.1 — 2026-10-29

受信箱付きのお問い合わせフォームと、管理画面からの REST API のオン／オフ。

✨ 新機能

  • 管理画面のお問い合わせ受信箱 — お客様からのメッセージを管理画面でまとめて確認できます
  • REST API のオン／オフ — API 管理画面で API と各バージョンを切り替え。設定ファイルの編集は不要です （ドキュメント）
  • ログイン試行回数の制限 — 管理画面のパスワードの総当たりを防ぎます
  • 開発者向け: 商品・注文・バナー・ページの REST API v2（フィルター、最終価格付き）。すべての API 応答にログ検索用のリクエスト ID

🐞 不具合の修正: SNS 共有画像（og:image）がページの画像と異なっていた。管理用の注文 API が 500 を返していた。Web サーバーを nginx の安定版チャネルに変更し、使っていない PHP の機能を無効化 （Docker で運用している場合）

📋 更新時の対応

  • php artisan gp247:update を実行します — API キーをハッシュ化し、古いトークンに有効期限を設定します
  • GP247_API_LOGIN_THROTTLE → GP247_LOGIN_THROTTLE、GP247_API_LOGIN_IP_THROTTLE → GP247_LOGIN_IP_THROTTLE に名前を 変更します（旧名は読み込まれません）
  • API を呼び出すアプリ: ログアウトは POST で行います（GET は廃止予定）。順次 API v2 へ移行してください
  • （Docker で運用している場合） DOCKER.md の「Security updates」に 従って新しいイメージを取得し、再ビルドします

含まれるパッケージ: core 3.5.0 · front 3.3.0 · shop 3.3.1 · 3.3.0（2026-10-28）を含む · GitHub Release

S-Cart 3.2 — 2026-10-23

日本語対応、送り状付きの標準配送、パッケージと一緒に更新されるストアフロントテーマ。

✨ 新機能

  • 標準配送 — 配送業者、送り状、区・町村。配送状況を注文画面で確認できます （ドキュメント）
  • 日本語と日本円（JPY） を新規インストール時から利用可能 — 日本市場での販売に対応 （ドキュメント）
  • GP247Front テーマをパッケージから直接読み込み — composer update だけで新しいデザインに。変更したいファイルだけを公開します （ドキュメント）
  • 決済画面に決済方法の案内 — お客様が振込方法を確認できます（ドキュメント）
  • お気に入り・比較 を商品ページで
  • 開発者向け: プラグインがテンプレートを持たずにストアフロントのブロックや差し込みポイントを追加可能。「使用前の確認」欄で プラグインに不足している設定を表示

🐞 不具合の修正: 商品カードのお気に入り／比較ボタンが表示されなかった。お気に入りから削除すると「too many redirects」になった。 ページリンクが縦に並んでいた

📋 更新時の対応

  • テーマ一式を公開済みのサイトは php artisan gp247:template-prune GP247Front --dry-run で、変更していないファイルを パッケージに戻せます

含まれるパッケージ: core 3.2.0 · front 3.2.0 · shop 3.2.0 · GitHub Release

S-Cart 3.1 — 2026-10-03

カート外の支払い依頼と、保存済みパスワード・決済キーの暗号化。

✨ 新機能

  • 支払い依頼 — オンライン決済リンクの送信、入出金の手入力、返金を注文なしで行えます （ドキュメント）
  • SMTP パスワードと決済ゲートウェイのキーを暗号化 してデータベースに保存。キー変更コマンド付き （ドキュメント）
  • ストアごとのプラグイン — 個別に設定・有効化 （マルチストアのサイト） （ドキュメント）
  • 管理画面の操作ログ — 誰が何を変更したかがわかります
  • 開発者向け: gp247:doctor が BOM 付きの PHP ファイルを報告。エラーレポートに発生元のサイトを記載

🐞 不具合の修正: メール／SMTP 設定が保存されないことがあった。メールアドレスのないお客様が重複扱いになった。注文合計の プロモーションコードが適用されなかった

📋 更新時の対応

  • php artisan gp247:update を実行します
  • （Docker で運用している場合） .env にサンプルのパスワードが残っていると本番環境は起動しません

含まれるパッケージ: core 3.1.0 · front 3.0.0 · shop 3.1.0 · GitHub Release

以前のリリース

リリース 日付 概要
S-Cart 3.0.1 2026-09-04 旧 sc:* コマンドを削除、gp247:* コマンドを使用 — コマンド一覧
S-Cart 3.0 2026-08-30 3.x 系の最初のリリース: 注文ごとの支払台帳、割引は税の前に差し引き — リリースノート v3.0

セキュリティ

サイトを安全に保つには、更新だけでは足りません。設定、暗号化キー、バックアップ、アカウント、インシデント対応については GP247 システムのセキュリティ を参照してください。

GP247 は定期的にセキュリティを見直し、改善を各リリースに含めています。サイトを安全に保ついちばん簡単な方法は、 推奨バージョン以上を使い、新しいリリースが出たら更新することです。

サーバーソフトウェア（PHP・Web サーバー）

PHP と Web サーバーの不具合は GP247 のリリースではなく各提供元が修正します。こちらも最新の状態に保ってください。

問題 深刻度 修正済みの PHP
PHP2Shell — リモートコード実行（CVE-2026-109618、CVE-2026-109619）· 2026-10-21 緊急 8.3.36 · 8.4.27 · 8.5.12

対応方法

  • PHP バージョンの確認: php -v、または 管理画面 → サーバー情報。
  • 公式リリースの PHP（php.net、公式 Docker イメージ、バージョンを選べる多くのコントロールパネル）: 使用中のブランチの 修正済みバージョン以降に更新します。
  • Linux ディストリビューション（Ubuntu、Debian、RHEL など）やホスティング事業者が管理する PHP: 古いバージョン番号のまま 修正が適用されることが多く、バージョン番号だけでは安全かどうか判断できません — OS の最新アップデートを適用するか、 CVE-2026-109618 と CVE-2026-109619 が修正済みか事業者に確認してください。
  • すぐに更新できない場合: php.ini で session.upload_progress.enabled = Off を設定し（GP247 はこの機能を使いません）、 PHP を再起動します。リスクは下がりますが、更新の代わりにはなりません。
  • Docker で運用している場合: DOCKER.md の「Security updates」に 従ってください。

脆弱性の報告

脆弱性を見つけた場合は、support@gp247.net へメールでお知らせください。修正版の公開前に問題が広まらないよう、GitHub の公開 Issue は 使わないでください。

📅 最終更新: 2026-11-04 · ✍️ 作成者 (Author): GP247