LASSIC Media らしくメディア
EC-CUBEとは？特徴と保守・バージョンアップの基本を解説
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- EC-CUBEは国産のオープンソースのECサイト構築ソフトで、自社の業務に合わせた改修がしやすい選択肢です。
- 自社の環境に置くため、PHPやEC-CUBE本体の更新は運営する側が受け持つことになります。
- 4.2が対応するPHPはすべてサポートを終えており、4.3への移行を計画しておくことが大切です。
※ 本記事は2026年10月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
いまのECサイトはEC-CUBEで作られているらしいが、どの版なのか分からない。構築した会社との保守契約が切れたまま、何年も更新していない——。自社でECサイトを運営している会社では、こうした状態が起こりがちです。EC-CUBEは、ECサイトを自社の環境に構築するための、国産のオープンソースのソフトウェアです。
自社の業務に合わせて自由に改修できるため、取引先向けの受発注サイトなどにも使われています。ただし万能ではなく、自由に改修できるぶん、保守と更新の手間は運営する側が持つことになります。本記事では、ECサイトを担当する情報システムの担当者に向けて、EC-CUBEの特徴、SaaS型カートとの違い、版ごとのサポートとPHPの対応、バージョンアップの進め方、そして外部に頼むときに確認したい点を整理します。
目次
EC-CUBEとは
EC-CUBEは、日本の株式会社イーシーキューブが開発を主導している国産のECサイト構築ソフトです。ソースコードが無償で公開されたオープンソースで、自社のサーバーやレンタルサーバーに入れて使います。日本の軽減税率や消費税のルールに標準で対応しています。*9
- カート自体は初期費用・月額費用とも無料です。決済、サーバー、ドメイン、SSL（通信の暗号化）は、利用者が各社と直接契約します*1
- ライセンスは、無償のGPL（ソースコードを公開する条件つきで自由に使えるライセンス）と、有償の商用ライセンスから選ぶ方式です*2
- 動かすには、Webサーバー（Apache）、PHP、データベース（PostgreSQLまたはMySQL）がそろった環境が必要です*3
- 機能は、本体に「プラグイン」と呼ばれる追加部品を組み込んで広げます
自由に改修できる反面、サイトを動かし続ける責任は運営する側にあります。どの版を使い、誰が更新を受け持つかを、構築の段階で決めておきます。
SaaS型カートとの違い
ECサイトの作り方は、事業者の用意したサービスを月額で使うSaaS型のカート、EC-CUBEのようなパッケージを自社の環境に入れる方法、一から作るフルスクラッチ開発の3つに大きく分かれます。
| 作り方 | 改修の自由度 | 更新を受け持つ人 |
|---|---|---|
| SaaS型のカート | サービスが用意した機能と設定の範囲 | サービスの運営会社 |
| EC-CUBE（自社の環境に構築） | ソースコードを含めて改修できる | サイトを運営する会社（または委託先） |
| フルスクラッチ開発 | すべて自由に作れる | サイトを運営する会社（または委託先） |
EC-CUBEは、取引先ごとの価格や基幹システムとの連携など、業務に合わせた改修がしやすい選択肢です。その代わり、サーバーやPHPの更新、本体のバージョンアップは運営する側の仕事になります。IPA（情報処理推進機構）は、ECサイトからの情報流出について「被害の大半を中小企業の自社構築サイトが占めています」と指摘しています。*8
版ごとのサポートとPHPの対応
EC-CUBEの現在の最新版は4.3です。*3 公式のダウンロードページでは、2系は2007年に出てサポート期間を延長中、3系は2016年7月に出て現在もサポート中、4系は2018年10月に出た最新の系統と案内されています。*4 2026年3月4日には、4.3と4.2の両方に修正版が出ています。*4
| EC-CUBEの版 | 対応するPHP | PHPの公式サポートの状況 |
|---|---|---|
| 4.3 | 8.1〜8.3 | 8.2は2026年12月31日まで、8.3は2027年12月31日までセキュリティ修正が続く |
| 4.2 | 7.4〜8.1 | いずれも終了（8.1は2025年12月31日に終了） |
| 4.0・4.1 | 7.3〜7.4 | いずれも終了 |
注意したいのは、EC-CUBE本体に修正版が出ていても、その下で動くPHPのサポートが切れている場合があることです。表のとおり、4.2が対応するPHPはすべて公式のサポートを終えています。*5*6 PHPの公式サイトは、サポートが終わった版は修正されない脆弱性にさらされるおそれがあるとして、早めの更新を求めています。PHP全般の移行についてはPHP 8.1サポート終了への対応で扱っています。
バージョンアップの進め方
EC-CUBEのバージョンアップは、ファイルを差し替えるだけの作業ではありません。改修した部分やプラグインが新しい版で動くかを確かめる工程が中心です。次の4つの段階で進めます。
- ステップ1：いまのEC-CUBEの版とPHPの版を確かめ、移す先の版を決める
- ステップ2：使っているプラグイン（決済を含む）と自社向けの改修が、新しい版に対応しているかを洗い出す
- ステップ3：本番と同じ構成の検証環境で、商品の表示から注文・決済までを通しで試す
- ステップ4：本番を切り替え、公式のセキュリティチェックシートで設定を点検する
つまずきやすいのはステップ2です。公式ドキュメントによると、4.2と4.3はプラグインの互換性を保つ方針ですが、4.3ではPHPの対応範囲が8.1〜8.3に変わり、4.2の頃は警告で済んでいた書き方の一部がエラーになって動かなくなります。*7 自社向けに改修した部分ほど影響を受けやすいため、改修の記録が残っているかを先に確かめておきます。
外部に頼むときに確認しておきたい点
EC-CUBEの開発元は、脆弱性を見つけると対策方法とあわせて公式サイトとJVN（国内の脆弱性情報サイト）で公開しています。*10 ただし、公開された修正を自社のサイトに当てるのは運営する側です。保守やバージョンアップを外部に頼むときは、次の点を見積もりの前に確かめておきます。
- どこまで頼むか：サーバーとPHPの更新、EC-CUBE本体の更新、プラグインの更新、障害時の対応のうち、どれを任せるか
- 脆弱性情報の確認：公式の脆弱性リストを誰がどの頻度で見て、自社の版に当てはまるかを判断するか
- 改修の記録：これまでの改修とプラグインの一覧を、引き継げる形で残しているか
- 検証の方法：更新の前に、検証環境で注文から決済までを通しで試すか
- 運用後の見直し：PHPのサポート期限に合わせて、次の更新の時期を決めておくか
ECサイト全体の運用保守を任せる場合の考え方はECサイト運用保守外注の進め方にまとめています。
まとめ：EC-CUBEで確かめておきたい3つの点
EC-CUBEでECサイトを運営するうえで、確かめておきたい点は3つに整理できます。第一に、いま使っているEC-CUBEの版と、その下で動くPHPの版を正確に把握すること。第二に、PHPのサポート期限に合わせて、4.3など新しい版へ移す時期を決めておくこと。第三に、改修とプラグインの記録を残し、検証環境で注文から決済まで試してから本番を切り替えることです。この3点を踏まえておけば、「気づいたら古い版のまま何年も放置していた」という事態を避けやすくなります。保守やバージョンアップの進め方に迷いがあれば、外部の手を借りるのも一つの選択肢です。
よくある質問
商用で使う場合は商用ライセンスを買う必要がありますか
商用で使うからといって、購入が必要になるとは決まっていません。*2 公式の説明では、GPLライセンスに準拠しない使い方、たとえばEC-CUBEを改修してソースコードを公開しないソフトウェアとして販売する場合などに商用ライセンスが必要になります。自社の使い方が当てはまるかは、契約内容とあわせて専門家に確かめてください。
サイトの不具合をイーシーキューブ社に直接問い合わせられますか
直接の契約関係がない場合、開発元はEC-CUBEで構築されたサイトのエラーについて確認や対応ができないと案内しています。*1 構築した会社や保守を任せている会社に相談するのが基本です。
2系や3系で作ったサイトはどうすればよいですか
公式のダウンロードページでは、最新版以外を使う場合は脆弱性リストで該当する脆弱性を確かめ、修正するよう求めています。*4 3系ではテンプレートの仕組みが2系から変わっているなど、系統をまたぐと作りが大きく異なります。4系へ移すかどうかは、画面とデータの移し方を含めて計画を立ててから判断すると進めやすくなります。
EC-CUBEの保守・バージョンアップのご相談
EC-CUBEで構築したECサイトの保守から、PHPの更新を伴うバージョンアップの検証と移行まで、元請（プライムベンダー）としてご提案します。
2006年の創業以来、一次請けのシステムインテグレーターとして、企業のシステム開発と保守・運用を受託してきました。
出典
- *1 参考：株式会社イーシーキューブ「EC-CUBE サポート」（https://www.ec-cube.net/support/）。出典：カートの初期・月額が無料であること、決済・サーバー・ドメイン・SSLは利用者が直接契約すること、契約関係のない利用者のサイトのエラーには確認・対応できないことの記述を参照（2026年10月確認）
- *2 参考：株式会社イーシーキューブ「EC-CUBEライセンスについて」（https://www.ec-cube.net/license/）。出典：GPLライセンスと商用ライセンスのデュアルライセンス方式、商用ライセンスが必要となるケースの記述を参照（2026年10月確認）
- *3 参考：EC-CUBE 4 開発者向けドキュメント「システム要件」「最新バージョン」（https://doc4.ec-cube.net/quickstart/requirement）。出典：4.3・4.2・4.0/4.1の各版が対応するPHP・データベース・Webサーバーの版、最新バージョンが4.3であることの記述を参照（2026年10月確認）
- *4 参考：株式会社イーシーキューブ「EC-CUBE 過去バージョンのダウンロード」（https://www.ec-cube.net/download/archive/）。出典：2系・3系・4系のリリース時期とサポートの状況、4.3.1-p1と4.2.3-p2の更新日、最新版以外の利用時に脆弱性を修正するよう求める記述を参照（2026年10月確認）
- *5 参考：The PHP Group「Supported Versions」（https://www.php.net/supported-versions.php）。出典：PHP 8.2・8.3のセキュリティサポート期限、サポート終了版の利用についての説明を参照（2026年10月22日確認）（2026年10月確認）
- *6 参考：The PHP Group「Unsupported Branches」（https://www.php.net/eol.php）。出典：PHP 8.1・8.0・7.4・7.3のサポート終了日を参照（2026年10月22日確認）（2026年10月確認）
- *7 参考：EC-CUBE 4 開発者向けドキュメント「4.2から4.3へのマイグレーション」（https://doc4.ec-cube.net/update-42-43）。出典：4.2と4.3のプラグイン互換性、PHP 8.1〜8.3への対応で非推奨の警告がエラーになる点の記述を参照（2026年10月確認）
- *8 参考：独立行政法人情報処理推進機構（IPA）「ECサイト構築・運用セキュリティガイドライン」（https://www.ipa.go.jp/security/guide/vuln/guideforecsite.html）。出典：ECサイトの情報流出被害の大半を中小企業の自社構築サイトが占めるという記述、サーバーのソフトウェアの最新化の要件を参照（2026年10月確認）
- *9 参考：EC-CUBE/ec-cube（GitHub）（https://github.com/EC-CUBE/ec-cube）。出典：リポジトリのライセンス（GPL-2.0）と、日本の軽減税率・消費税への標準対応の記述を参照（2026年10月確認）
- *10 参考：株式会社イーシーキューブ「セキュリティ対策について」（https://www.ec-cube.net/security/）。出典：脆弱性情報を公式サイトとJVNで公開していること、版ごとの運用環境セキュリティチェックシートの提供の記述を参照（2026年10月確認）
