🌐 言語: 🇻🇳 Tiếng Việt · 🇬🇧 English · 🇯🇵 日本語（現在）

GP247 リリース

はじめに

このページは、3.x 系の S-Cart のリリースを新しい順に、新機能・セキュリティ修正・更新時の対応とともに一覧にしたものです。 S-Cart の各リリースは gp247/core、gp247/front、gp247/shop のリリースをまとめたもので、S-Cart は独自のバージョン番号を持ちます （マイナー リリースは新機能を含み、パッチ リリースは不具合の修正のみです）。対象はサイト運営者・管理者です。「ひと目でわかる」を 見れば、新機能とサイトの更新が必要かどうかがわかります。

ひと目でわかる

S-Cart サイトで確認するパッケージ
最新 3.3.1 · 2026-10-29 gp247/core 3.5.0 · gp247/front 3.3.0 · gp247/shop 3.3.1
安全な最低バージョン 3.3.0 gp247/core ≥ 3.5.0 · gp247/front ≥ 3.2.3 · gp247/shop ≥ 3.3.1

✨ 最近の新機能

  • 管理画面に受信箱付きのお問い合わせフォーム — お客様からのメッセージを管理画面でまとめて確認できます (S-Cart 3.3)
  • API 管理画面で REST API と各バージョンのオン／オフを切り替え — 設定ファイルの編集は不要です (S-Cart 3.3)
  • 管理画面のログイン試行回数を制限 — パスワードの総当たりを防ぎます (S-Cart 3.3)

💡 php artisan gp247:info（または composer show "gp247/*"）で確認します。各パッケージが「安全な最低バージョン」の行に達していれば、 S-Cart を再インストールしていなくてもサイトは安全です。

⚠️ 注意: セキュリティ修正を受けられるのは 3.x 系のみです。2.x で稼働中のサイトは 3.x へ移行してください。 gp247/shop 3.3.1 には gp247/core 3.3 以上、gp247/front 3.2.3 には gp247/core 3.2.3 以上が必要です。3 つを同時に更新してください。

リリース一覧

S-Cart 3.3.1 — 2026-10-29

含まれるパッケージ: gp247/core 3.5.0 · gp247/front 3.3.0 · gp247/shop 3.3.1

  • 🐞 不具合の修正: Web サーバーをセキュリティ修正が届く nginx の安定版チャネルに変更。使っていない PHP の機能を無効にし、 PHP2Shell のリスクを低減（Docker で運用している場合）
  • ⚠️ 更新時の対応: （Docker で運用している場合）DOCKER.md の 「Security updates」に従って新しいイメージを取得し、再ビルドします

詳細: GitHub Release

S-Cart 3.3.0 — 2026-10-28

受信箱付きのお問い合わせフォームと、管理画面からの REST API のオン／オフ。

含まれるパッケージ: gp247/core 3.5.0 · gp247/front 3.3.0 · gp247/shop 3.3.1

  • ✨ 新機能:
    • 管理画面に受信箱付きのお問い合わせフォーム — お客様からのメッセージを管理画面でまとめて確認できます
    • API 管理画面で REST API と各バージョンのオン／オフを切り替え — 設定ファイルの編集は不要です （ドキュメント）
    • 管理画面のログイン試行回数を制限 — パスワードの総当たりを防ぎます
    • 開発者向け: 商品・注文・バナー・ページの REST API v2（フィルター、最終価格付き）。すべての API 応答にログ検索用のリクエスト ID
  • ⚠️ セキュリティ: 5 件の修正 — セキュリティ修正を参照。すぐに更新してください。
  • 🐞 不具合の修正: SNS 共有画像（og:image）がページの画像と異なっていた。管理用の注文 API が 500 を返していた
  • ⚠️ 更新時の対応:
    • php artisan gp247:update を実行します。API キーをハッシュ化し、古いトークンに有効期限を設定します
    • GP247_API_LOGIN_THROTTLE を GP247_LOGIN_THROTTLE に、GP247_API_LOGIN_IP_THROTTLE を GP247_LOGIN_IP_THROTTLE に変更します （旧名は読み込まれません）
    • API を呼び出すアプリ: ログアウトは POST で行います（GET は廃止予定）。順次 API v2 へ移行してください

詳細: GitHub Release

S-Cart 3.2 — 2026-10-23

日本語対応、送り状付きの標準配送、パッケージと一緒に更新されるストアフロントテーマ。

含まれるパッケージ: gp247/core 3.2.0 · gp247/front 3.2.0 · gp247/shop 3.2.0

  • ✨ 新機能:
    • 標準配送: 配送業者、送り状、区・町村 — 配送状況を注文画面で確認できます （ドキュメント）
    • 新規インストール時から日本語と日本円（JPY）を利用可能 — 日本市場での販売に対応 （ドキュメント）
    • GP247Front テーマをパッケージから直接読み込み — composer update だけで新しいデザインに。変更したいファイルだけを公開します （ドキュメント）
    • 決済画面に決済方法の案内を表示 — お客様が振込方法を確認できます（ドキュメント）
    • 商品ページでお気に入り・比較
    • 開発者向け: プラグインがテンプレートを持たずにストアフロントのブロックや差し込みポイントを追加可能。「使用前の確認」欄で プラグインに不足している設定を表示
  • ⚠️ セキュリティ: 2 件の修正 — セキュリティ修正を参照。
  • 🐞 不具合の修正: 商品カードのお気に入り／比較ボタンが表示されなかった。お気に入りから削除すると「too many redirects」になった。 ページリンクが縦に並んでいた
  • ⚠️ 更新時の対応: テーマ一式を公開済みのサイトは php artisan gp247:template-prune GP247Front --dry-run で、変更していない ファイルをパッケージに戻せます

詳細: GitHub Release

S-Cart 3.1 — 2026-10-03

カート外の支払い依頼と、保存済みパスワード・決済キーの暗号化。

含まれるパッケージ: gp247/core 3.1.0 · gp247/front 3.0.0 · gp247/shop 3.1.0

  • ✨ 新機能:
    • 支払い依頼: オンライン決済リンクの送信、入出金の手入力、返金 — 注文を作らずに行えます （ドキュメント）
    • SMTP パスワードと決済ゲートウェイのキーをデータベースで暗号化。キー変更コマンド付き （ドキュメント）
    • ストアごとにプラグインを設定・有効化（マルチストアのサイト）（ドキュメント）
    • 管理画面のすべての操作を記録 — 誰が何を変更したかがわかります
    • 開発者向け: gp247:doctor が BOM 付きの PHP ファイルを報告。エラーレポートに発生元のサイトを記載
  • ⚠️ セキュリティ: 3 件の修正 — セキュリティ修正を参照。
  • 🐞 不具合の修正: メール／SMTP 設定が保存されないことがあった。メールアドレスのないお客様が重複扱いになった。注文合計の プロモーションコードが適用されなかった
  • ⚠️ 更新時の対応: php artisan gp247:update を実行します。（Docker で運用している場合）.env にサンプルのパスワードが残っていると 本番環境は起動しません

詳細: GitHub Release

S-Cart 3.0.1 — 2026-09-04

含まれるパッケージ: gp247/core 3.0.0 · gp247/front 3.0.0 · gp247/shop 3.0.0

  • ⚠️ 更新時の対応: 旧 sc:* コマンドは削除されました。対応する gp247:* コマンドを使ってください （ドキュメント）

詳細: GitHub Release

以前のリリース

日付 S-Cart 含まれるパッケージ 概要
2026-08-30 3.0 core 3.0.0 · front 3.0.0 · shop 3.0.0 3.x 系の最初のリリース: 注文ごとの支払台帳、割引は税の前に差し引き — リリースノート v3.0 を参照

セキュリティ修正

S-Cart のリリースごとに 1 行で、問題の種類・影響範囲・修正済みリリースのみを記載し、悪用方法は記載しません。「（…のサイト）」と書かれた項目は、 その構成のサイトにのみ影響します。

日付 S-Cart 修正
2026-10-28 3.3.0 core 3.5.0 · shop 3.3.1
• 総当たり攻撃、CSRF — 管理画面のログイン試行回数に制限がなかった。ファイルマネージャーで他のサイトからファイルを変更できた
• 価格改ざん — カートにマイナスの数量を入れると注文合計が 0 になった
• 秘密情報の露出 — API 接続キーがデータベースに平文で保存されていた（API を有効にしたサイト）
core · front · shop 3.2.3 （公開 2026-10-27）
• アクセス制御、データ漏えい、総当たり攻撃 — REST API が役割・ストアの権限を無視し、原価・在庫を公開していた。ログイン回数の制限がなく、トークンが失効しなかった（API を有効にしたサイト）
• 認証 — ロックされたお客様がログインできた
2026-10-23 3.2 core 3.1.2 （公開 2026-10-21）
• パストラバーサル、SSRF — 信頼できないパッケージからのプラグイン／テンプレートのインストール
front 3.0.1 （公開 2026-09-02）
• データ漏えい — 他ストアのページ・リンクグループがサブストアの管理者に表示された（マルチストアのサイト）
2026-10-03 3.1 core 3.0.14 （公開 2026-09-29）
• 秘密情報の露出 — プラグイン設定画面に保存したパスワード・キーがブラウザーに送られていた
shop 3.0.18 （公開 2026-09-28）
• データ漏えい — 管理画面のホームで全ストアの売上・注文がサブストアの管理者に表示された（マルチストアのサイト）
shop 3.0.2 （公開 2026-09-02）
• データ漏えい — 注文作成時に他ストアのカテゴリー・商品がサブストアの管理者に表示された（マルチストアのサイト）

サーバーソフトウェア（PHP・Web サーバー）

GP247 は、お客様またはホスティング事業者がインストールした PHP と Web サーバーの上で動作します。これらの不具合は GP247 の リリースではなく各提供元が修正します。こちらも最新の状態に保ってください。

日付 ソフトウェア 問題 修正済みバージョン（PHP 公式リリース）
2026-10-21 PHP PHP2Shell — リモートコード実行、深刻度: 緊急（CVE-2026-109618、CVE-2026-109619） 8.3.36 · 8.4.27 · 8.5.12

対応方法

  1. 稼働中の PHP バージョンを確認します: php -v、または 管理画面 → サーバー情報。
  2. 公式リリース（php.net、公式 Docker イメージ、バージョンを選べる多くのコントロールパネル）の PHP の場合: 使用中のブランチの修正済みバージョン以降に更新します。
  3. Linux ディストリビューション（Ubuntu、Debian、RHEL など）がインストールした PHP、またはホスティング事業者が管理する PHP の場合: 古いバージョン番号のまま修正が適用されることが多く、バージョン番号だけでは安全かどうか判断できません。OS の最新アップデートを 適用するか、CVE-2026-109618 と CVE-2026-109619 が修正済みか事業者に確認してください。
  4. すぐに更新できない場合: php.ini で session.upload_progress.enabled = Off を設定し（GP247 はこの機能を使いません）、PHP を 再起動します。リスクは下がりますが、更新の代わりにはなりません。
  5. Docker で S-Cart を運用している場合: DOCKER.md の Security updates に従ってください。

更新方法

  1. データベースとサイトのフォルダーをバックアップします。
  2. コードを更新します。 
    composer update gp247/core gp247/front gp247/shop
  3. データ・設定・キャッシュの更新を適用します。 
    php artisan gp247:update
  4. php artisan gp247:info でバージョンを再確認します。

詳しい手順は GP247 の更新をご覧ください。

脆弱性の報告

脆弱性を見つけた場合は、support@gp247.net へメールでお知らせください。修正版の公開前に問題が広まらないよう、GitHub の公開 Issue は使わないでください。

📅 最終更新: 2026-10-30 · ✍️ 作成者 (Author): GP247