Shopifyにも使われているLiquidjsにCVSSスコア10の脆弱性。Shopifyは自動パッチをあてるがShopifyカスタムアプリ・独自サーバーは手動アップデートのみ

2026年5月29日

ECシェアがとても高いShopifyですので、パートナー企業に構築依頼を行って毎月レポートをもらっていないECサイトは確認を行ってください。

Shopifyの一般的な利用者はプラットフォーム側が自動対応

Shopifyの一般的な利用（ダッシュボードでのテーマ編集など）であれば、ユーザー側でアップデート作業を行う必要はなし。
Shopifyのシステム基盤自体はShopifyが自社で管理・修正（パッチ適用）を行うため、プラットフォーム側の脆弱性対応は自動的に完了するため。

ただし、Shopify「アプリ」を自社開発している場合やアプリを多く入れているサイトは注意が必要

Shopifyカスタムアプリ・独自サーバーの開発者の場合自社でNode.js環境を用意し、liquidjsパッケージを組み込んで独自アプリやヘッドレスコマース（Hydrogen等を除く独自構成）を運用している場合は、直ちに手動アップデートが必要。
アップデート手順（開発者向け）脆弱性が修正された v10.26.0以降へアップデートしてください。

どのECサイト、CMSもアプリ、プラグインの入れすぎはリスクにしかなりませんので、自社で信頼性の確認も行わず、各種AIや適当な記事でインストールしてしまった場合は、必ず確認してください。

CVE-2026-45618: LiquidJS is Vulnerable to Remote Code Execution

※全文英語ですが、サマリー・概要が書かれていますので、サポートなしのEC運営者は自社サイトがどうなっているか確認し、適切な対応を行ってください。

Recent Entries