2026年10月21日に公表されたPHPの脆弱性(CVE-2026-109618 および CVE-2026-109619)に関し、当社の全Shopifyアプリ(Japan Order CSV、Delete Me、Mockingbird、Mypage Blocks、B2E 社販アプリ)への影響を確認いたしました。いずれのアプリもPHPを使用しておらず、本脆弱性の影響はございません。ご利用のマーチャント様において、アップデートや設定変更などの対応は不要です。

当社では、公表される脆弱性情報を継続的に監視しており、ご利用の皆様に影響が想定される場合には速やかにお知らせいたします。本件についてご不明な点がございましたら、各アプリのサポート窓口までお問い合わせください。

Customer Account API(カスタマーアカウントエーピーアイ)

定義

Customer Account APIは、顧客が自分自身のデータをセルフサービスで管理するために設計された、独立したGraphQL APIです。新しいお客様アカウント(New Customer Accounts)向けの認証の仕組みを備えており、プロフィール情報・注文履歴・保存済み住所など、認証済み顧客に紐づくデータへのフルCRUDアクセスを提供します。Customer Account UI Extensionからは shopify://customer-account/api/.../graphql.json への fetch() で直接呼び出すことができ、認証は自動的に処理されます。Hydrogenなどのヘッドレス構成でも同様に利用します。

背景

従来、顧客データはStorefront APIやAdmin APIの一部機能を組み合わせて扱われてきましたが、いずれも「顧客自身によるセルフサービス管理」を主目的として設計されたものではありませんでした。Shopifyは顧客データの保護を強化する方針のもと、この用途に特化したCustomer Account APIを新設し、新しいお客様アカウント・Customer Account UI Extension・Hydrogenのヘッドレス構成など、複数の仕組みがこのAPIを共通基盤として利用する形に整理されています。

Flagshipでの関わり

フラッグシップは、新しいお客様アカウントへの移行案件において、Customer Account APIを用いたカスタムUI拡張(Mypage Blocksなど)の設計・開発を行っています。フリガナ入力や配送先ごとのカナ情報など、日本のECに不可欠な要件を、Shopify標準のメタフィールドと組み合わせてこのAPI上に実装しています。

歴史的に日本のECサイトはマイページが充実する傾向があり、会員サービスやファンサービスを強化している欧米ECサイトでも特に強化されてきている領域ですが、そのカスタマイズ対応の柔軟性が増したポジティブな状況です。