Convertrの決済画面にカード窃取コード、解析スクリプト経由で流入
影響を受けるもの
- Convertrを利用するECサイトの決済画面
- 改ざんされた解析スクリプトを読み込んだ購入者
- 自社運用のPlausible Community Edition
CVE-2026-8467（脆弱性情報一覧で確かめる）
Sansecは10月26日、EC基盤Convertrのアクセス解析スクリプトに、カード情報を盗むコードが追加されたと報告した。10月24日以降、対象の決済画面からカード番号、有効期限、セキュリティコード、名義、ブラジルの納税者番号が外部へ送られていたという。共通のファイルが改ざんされ、そのファイルを読み込む加盟店の決済画面へ影響が広がった。[1]
10月27日の追記でSansecは、Convertrが不正コードを除去してPlausibleを修正版へ更新し、影響を受けた加盟店や決済事業者、当局への通知を進めていると伝えた。同日13時08分UTCには解析スクリプトが正常になったことを確認した。利用企業は、自社の対象期間と購入者への対応状況を提供元に確認したい。[1]
Plausible開発元は別途、Community Editionの3.0以上3.2.1未満で、認証なしにサーバー上のコード実行につながる問題を公表し、3.2.1への更新を案内している。Convertrへの侵入経路はSansecの調査では確定していない。自社運用の企業は更新状況と/storybookへのアクセス記録を確認し、決済画面へ配信するスクリプトの変更も点検する。[1][2]
個人で使っている人は
- 10月24日以降に対象のConvertr決済画面でカードを使った場合は、カード会社へ相談する。
- カードの利用明細を確認し、身に覚えのない取引があればカード会社へ連絡する。
担当者が確かめること
- Convertr利用店舗は提供元に、不正スクリプトの影響期間、自社の対象取引、購入者への通知状況を確認する。
- 決済ページが読み込む解析タグや外部スクリプトを一覧にし、提供元と変更内容を確認する。
- Plausible CEの版を確認し、3.0以上3.2.1未満なら修正版へ更新する。
- Plausibleの/storybookへのアクセスを確認し、不審な動きがあればコンテナから利用できた秘密情報を更新する。
SERVICE最新AIペネトレーションテスト悪用される前に、弱点を洗い出す。公開Web・API・クラウド・社内システムまで、合意した範囲だけを、攻撃者と同じ最新のAI攻撃ツールで試します。報告は今日直すものに絞って優先順位をつけ、修正後の再検証まで行います。
