とらのあな電子書籍が停止中｜2026年10月のPHP脆弱性対応と5月の不正アクセス・情報漏洩の有無

同人ショップ「とらのあな」の電子書籍サービスは、2026年10月22日から再び止まっています。今回の理由は不正アクセスではなく、世界中で使われているプログラミング言語PHPに深刻な脆弱性が公表されたことを受けた予防措置です。10月23日時点で、電子書籍の購入と、本棚・ビューアでの閲覧の再開時期は「未定」とされています。5月22日にも不正なクローリングで5日余り止まっており、2つは別の出来事です。この記事では、2回の停止それぞれについて公表された事実と情報漏洩の有無、今使えるサービス、利用者が確認することを順に説明します。

まとめ：とらのあな電子書籍は2026年10月22日から再び停止中

• 10月22日、虎の穴は「PHPの深刻な脆弱性」を理由に、電子書籍関連の全サービスを予防的に止めました。電子書籍の購入も、購入済み作品の閲覧もできません。
• 10月23日に、とらのあなインフォメーションとFAQ・お問い合わせページは復旧しましたが、電子書籍の再開時期は「未定」のままです。
• 紙の同人誌などの通信販売と実店舗は、通常どおり使えます。
• 告知は、今回の停止を「弊社起因の障害・情報漏洩等ではございません」と説明しています。
• 5月22日の停止は、特定の作品への不正な自動アクセス（クローリング）を検知したためで、5月27日15時に再開しました。このときも会員情報などの流出は「一切ございません」とされています。
• 利用者が今すぐ行う手続きはありません。他のサイトと同じパスワードを使っている人は変更し、メール認証コードによる二段階認証を有効にしておきます。

2026年10月22日からの停止｜PHPの脆弱性を受けた予防措置

10月22日の告知は、PHPに「極めて深刻な脆弱性が新たに公表され」たとし、「現在の暫定的な緩和策のみではお客様に100%安全な環境をご提供し続けることが困難」と判断したと説明しています。そのうえで、修正プログラムの適用などが終わり安全が確認できるまで、電子書籍関連の全サービスを「一時的に遮断・停止」するとしました（とらのあな通信販売「セキュリティ保護のための緊急メンテナンスおよび、電子書籍サービス一時停止のお知らせ」2026年10月22日）。差出人は「株式会社虎の穴 通信販売課」です。

PHPの開発チームは10月20日に、深刻度がCVSS v4.0で9.2の脆弱性2件を直す更新を10月21日14時（UTC、日本時間23時）に出すと予告し、21日にPHP 8.5.12・8.4.27・8.3.36・8.2.35を公開しました（PHP「Upcoming Critical PHP Security Release」、PHP「Security advisory: Critical remote code execution vulnerabilities」）。脆弱性はCVE-2026-109618とCVE-2026-109619で、ログインしていない第三者がサーバー上でプログラムを実行できるおそれがあります。PHP側も、すぐ更新できないときの設定変更は特定の攻撃経路を減らすだけで、それで安全になるわけではない（do not make an installation safe）と書いています。とらのあなの告知の「暫定的な緩和策のみでは」という判断は、この記述と合っています。脆弱性の中身と影響を受ける版はPHP2Shellとは：CVE-2026-109618・109619の影響範囲と修正版・更新できない場合の設定【2026年10月】で扱っています。

とらのあなのどのシステムがPHPで動いているか、修正版の適用がどこまで進んだかは公表されていません。

10月23日時点のサービス別停止・復旧状況

10月23日の告知は、インフォメーションとFAQなどを「安全が確認できたため」復旧したとし、電子書籍は「現在も復旧作業を続けております」としています（とらのあな通信販売「一部サービスの復旧および、電子書籍サービス引き続き停止のお知らせ」2026年10月23日）。

再開のめどが立てば、公式サイトと公式SNSで知らせるとしています。再開を確かめるときは、通販サイトのお知らせ一覧（ecs.toranoana.jp/ec/app/law/oshirase/）を開きます。

購入済みの作品も読めない理由｜ストリーミング配信の仕組み

とらのあなの電子書籍は「ストリーミング配信」で、購入した作品は本棚専用ログインページ上でのみ閲覧でき、個人端末へのダウンロードやPDF化による保存はできません（とらのあなご利用ガイド「とらのあな電子書籍とはどのようなサービスか教えて」、電子書籍を閲覧する際の推奨環境）。手元にファイルが残らないので、サーバー側で本棚とビューアを止めると、買った作品も1冊も読めなくなります。読めないのは停止によるもので、購入した作品の権利が失われたという発表はありません。

10月のほかのお知らせとの切り分け｜メール障害・au PAY・10月26日のメンテナンス

10月後半のとらのあなには、電子書籍の停止とは別のお知らせがいくつも並んでいます。「メールが届かない」「決済できない」といった症状がどれによるものかは、次の表で分けられます（いずれもとらのあな通信販売のお知らせ一覧）。

au PAYのメンテナンスは「決済代行会社による緊急のシステムメンテナンス」と書かれており、理由は示されていません。

2026年5月22日の不正クローリングによる停止と5月27日の再開

1回目の停止は、外部からの不正な自動アクセスが原因でした。運営元の虎の穴（東京都千代田区）の発表と報道を時系列に並べます。

5月22日の告知で止めたのは「電子書籍の閲覧（ビューワーサイト全般）」と「電子書籍の新規購入」で、紙の同人誌・商業コミック・グッズの通販は影響を受けていません（とらのあな「【重要】とらのあな電子書籍 緊急メンテナンス実施のお知らせ」2026年5月22日、ITmedia NEWS 2026年5月22日）。5月27日の再開告知は、検知したものを「外部から不正な自動アクセス（クローリング等のデータ取得行為）」と書き、「被害防止を最優先とし緊急停止を実施」したと説明しています。停止中に「クローリング等の不正行為への対策を講じました」としていますが、対策の中身は公表されていません（とらのあな「【重要】とらのあな電子書籍 サービス再開のお知らせ」2026年5月27日）。5月22日の告知は「お取引サークル各位」宛てで、2本ともクリエイターサポート課の名義で出されており、作品を預けるサークル向けの説明でもありました。

情報漏洩はあったか｜5月と10月の公表内容

2回の停止は、原因も、会員情報についての説明も違います。告知の文言で並べると次のとおりです。

5月の再開告知は、「会員情報（氏名・住所等）」「パスワード」「クレジットカード情報」などの流出は「一切ございません」と明言しています。10月の告知は、停止の原因が「弊社システムの不具合や、弊社起因の障害・情報漏洩等ではございません」と書き、予防のために止めたという立場です。どちらも、会員に個別の手続きを求める発表はしていません。

個人データの漏えい（そのおそれを含む）が不正アクセスなど不正の目的による行為で起きた場合や、本人が1,000人を超える場合など、個人情報保護委員会規則第7条の事態に当たると、事業者は個人情報保護法第26条に基づいて、原則として委員会へ報告し、本人へ通知する義務を負います（委託先が委託元へ通知した場合や、本人への通知が難しく公表などの代替措置を取る場合の例外があります）。2026年10月23日時点で、とらのあなから会員へそうした通知が届いたという発表はありません。報告対象になる事態と速報・確報の期限はオズモールの不正アクセスと最大44万件のメールアドレス｜海外からの大量アクセスを止める設計で扱っています。

5月の件で影響を最も受けた可能性があるのは、作品を配信していたサークル・作家です。対象の作品名、取得されたページの量、アクセス元、取得データの転載の有無、法的措置の有無は公表されていません。有料作品が丸ごと取得されると、海賊版サイトへの転載で売上が失われるおそれがあります。一般社団法人ABJは、日本向け出版物海賊版の上位10サイトで2025年の1年間に「タダ読みされた金額」を約6,888億円と試算し、この額は「正規の売上げの減少額ではない」と注記したうえで、売上の減少を約2,300億円と推定しています（ABJ調べ・2026年1月末時点の試算）。今回の件で作品の転載が確認されたという発表はありません。

2026年10月に止まった電子書籍ストア｜コミックシーモア・Renta!との違い

10月には、とらのあなのほかにも電子書籍ストアが相次いで止まりました。時期が近いため混同されやすいのですが、原因と被害の公表内容はそれぞれ違います。

コミックシーモアの第4報（10月21日）は、会員データベースの登録情報319件と、システムログファイル上の情報最大約420万件の流出を確認したと発表し、サービス再開時には全会員にパスワードの再設定を求める予定としています（NTTソルマーレ「『コミックシーモア』お客様の情報流出に関するご報告（第4報）」）。Renta!は10月21日時点で、不正アクセスの詳細を調査中で再開時期は未定です（パピレス「【Renta!】緊急メンテナンスについてのお詫びとお知らせ」）。3社の停止に関係があるとした公式発表はありません。経緯と会員が取る手順はコミックシーモア不正アクセスで会員情報流出：再開時期・パスワード再設定と運営側のログ点検とRenta!不正アクセスでサービス停止：再開未定の現状と運営側の停止判断・証拠保全・段階的再開にまとめています。

とらのあなの安全性｜パスワード・本棚・ログイン・偽メール・退会の確認点

公式発表では、5月・10月とも会員情報の漏洩は報告されていません。それとは別に、アカウントを守る設定は利用者の側で見直せます。確認する順に並べます。

パスワードの変更と二段階認証の有効化

他のサイトと同じパスワードを使っているなら、変えておくのが確実です。別のサービスから漏れたID・パスワードの組み合わせで、とらのあなに不正ログインされる経路（パスワードリスト攻撃）は、今回の2件とは関係なく残っています。10月に流出が確認されたコミックシーモアと同じ組み合わせを使っている人は、特に急ぎます。

パスワードは、通販にログイン→マイページ→「アカウント情報」→パスワード欄横の「変更する」から変更できます（パスワードの変更方法）。同じ「アカウント情報」のメニューで二段階認証も有効にできます（二段階認証の設定）。とらのあなの二段階認証は、登録メールアドレスに届く認証コードを入力する方式です（二段階認証とは何ですか）。メールアドレスのパスワードも使い回していると効果が落ちるので、メール側も確認してください。認証方式ごとの強さは多要素認証（MFA）とは？3要素と実装方式・耐フィッシングMFAをコード付きで解説で比較しています。

購入済み作品の表示不具合｜購入履歴・同期・会員IDの確認

電子書籍が停止している間は、本棚そのものが開けません。再開後に作品が出ないときは、まず購入が記録されているかを購入履歴で確かめます。PCは通販ページにログインした後、右側のメニューの「購入履歴」、スマートフォンは右上のヒト型のマークから開くメニューの「購入履歴」です（購入履歴の確認方法）。購入履歴にあるのに本棚に作品が出ない場合、公式ヘルプは本棚ページ右上の「同期」ボタンを押すよう案内しています。それでも出ないときの原因として、次の3つが挙げられています（購入した電子書籍の閲覧方法）。

• 動作保証外の端末を使っている、またはキャッシュの読み込み・保存ができない設定になっている（推奨ブラウザはFirefox・Safari・Google Chrome・Microsoft Edgeの各最新版）
• 深夜1時〜2時ごろに購入したため、本棚への反映が遅れている
• 購入時とは別の会員IDでログインしている（作品は購入した会員IDでしか読めない）

会員IDは「A0123456」のような8桁です（会員IDとは）。複数のIDを持っている人は、注文完了メールに記載された会員IDで、購入時のIDを確かめてください。これでも解決しない場合は、ログインIDと読めない作品名を添えてお問い合わせフォームから連絡します。

「ログイン認証に失敗しました」の原因と一時ロックへの対処

ログインに何度も失敗すると「複数回のログイン認証に失敗したため、一時的にロックさせていただいています。」と表示され、一時的にロックされます（エラーが発生し、ログインする事ができない理由・対処方法）。時間を置いてから再度試し、パスワードを忘れているならパスワード再発行を使います。ほかに、大文字・小文字や全角入力の間違い、端末・ブラウザの相性が原因として挙げられています。

自分では何もしていないのにロックの表示が出る場合は、第三者がそのIDでログインを試みた可能性があります。パスワードを変え、二段階認証を有効にしてください。

停止や不正アクセスを口実にした偽メール

停止や流出が報じられた後は、「お詫びのポイントを付与します」「本人確認が必要です」といった文面で偽サイトへ誘導するメールが出回りやすくなります。虎の穴は、5月・10月とも会員へ個別の対応を求める発表をしていません。メール内のリンクからログインせず、ブックマークした通販サイト（ecs.toranoana.jp）から直接開いて確認してください。メール・SMS・偽サイトなど手口の類型はフィッシング詐欺とは？成立の仕組みと実装者向けの技術的対策を解説にまとめています。

退会前の確認事項｜未完了注文・とらコイン・電子書籍

不安から退会を考える場合は、退会で何が失われるかを先に確かめます。退会は、通販にログイン→マイページ→「アカウント情報」→下部の「退会手続き」から行い、注意事項にチェックを入れて「退会する」を押します（とらのあな通信販売の退会方法を教えて）。予約を含む注文が残っていると退会できず、保有しているとらコインの残高は払い戻されません。電子書籍は購入した会員IDでしか読めないため、そのIDで退会すれば本棚の作品も読めなくなります。電子書籍が止まっている今は、退会前に本棚の中身を確かめることもできません。

正規のクローリングと不正なクローリングの違い

クローリング自体は違法な行為ではありません。検索エンジンのクローラーは公開ページを巡回して索引を作っており、サイト側はrobots.txtで巡回してよい範囲を伝えます。ITmediaの記事も、一般的なクローリングに違法性はないとしたうえで、有料の著作物を扱うサイトへの不正なクローリングはコンテンツの不正取得を目的としている場合がある、と区別しています（ITmedia NEWS 2026年5月22日）。

表は一般的な想定例で、今回の取得の手口として公表されたものではありません。robots.txtは巡回してよい範囲を伝える取り決めで、アクセスを許可・拒否する仕組みではないため、robots.txtに従っているかだけでは正当かどうかを判断できません。違法かどうかの線は、取得の方法、取得したものの使い道、相手のサーバーに与える負荷で決まります。購入した作品であっても、ページ画像を機械的に保存して他人に配布すれば著作権（複製権・公衆送信権）の侵害になりますし、アクセス管理者や利用権者の承諾なく他人のIDとパスワードでログインし、アクセス制御された領域から取得すれば不正アクセス禁止法の問題になります。逆に、悪意がなくても大量アクセスが刑事事件になった例があります。2010年の岡崎市立中央図書館事件では、蔵書検索システムへ自動アクセスを続けた利用者が逮捕され、偽計業務妨害罪に問われて起訴猶予処分になりました。2011年6月14日の参議院法務委員会では、井上哲士委員が、この件で「三万三千の不正アクセス」とされたものが1日2,000回程度だったことを取り上げ、専門家から見れば当たり前の量でも相手のサーバーによっては業務妨害とみなされうる、という論点が議論されています（国会会議録 第177回国会 参議院法務委員会）。スクレイピングの法務上の判断基準はスクレイピングとは？クローリング・APIとの違いと実装・法務の判断を解説で詳しく扱っています。

電子書籍を配信する側の対策｜大量取得の制限と予防停止の判断

電子書籍のビューアは、ページごとの画像やデータをサーバーから順に受け取って表示します。購入者のブラウザに届いた時点で、技術的には保存できる状態です。完全な複製防止はできないため、配信側の現実的な目標は「1つのアカウントで短時間に作品を丸ごと抜けないようにする」ことになります。以下は一般的な設計で、とらのあなが導入した対策の中身は公表されていません。

ページURLへの署名と有効期限の付与

ページ画像のURLを推測できる連番にしておくと、ログインしたセッションさえあればページ番号を書き換えるだけで全ページを取れます。そこで、サーバーが「会員ID・作品ID・ページ番号・期限」に対するHMAC署名をURLに付け、検証できたものだけ返すようにします。ページ番号を書き換えると署名が合わず、期限が切れたURLは使い回せません。ただし署名だけでは、購入者のアカウントでビューアを自動操作する取得は止まりません。それを抑えるのが次の取得数の上限です。

会員ID単位で数えるページ取得数の上限

人がページをめくる速さには限界があるので、短時間の取得ページ数に上限を置きます。IPアドレス単位の制限だけでは、プロキシを切り替えるクローラーを止められないため、会員ID単位で数えます。コード例では上限を1分間120ページ（1秒に2ページ）にしていますが、実際の値は、見開き表示や先読みでビューアが一度に要求する枚数を実測してから決めます。次のコードは、署名の検証と1分間のページ数の上限をまとめたものです（Python 3.9と3.14で動作確認）。

import hashlib
import hmac
import time
from collections import defaultdict, deque

SECRET = b"replace-with-a-secret-from-your-kms"
URL_TTL = 60          # 署名付きURLの有効期間（秒）
PAGE_LIMIT = 120      # 1アカウントが1分間に取得できるページ画像の上限


def sign_page_url(user_id: str, book_id: str, page: int, now=None) -> str:
    now = time.time() if now is None else now
    expires = int(now + URL_TTL)
    msg = f"{user_id}:{book_id}:{page}:{expires}".encode()
    sig = hmac.new(SECRET, msg, hashlib.sha256).hexdigest()
    return f"/viewer/{book_id}/{page}.webp?u={user_id}&e={expires}&s={sig}"


_recent = defaultdict(deque)


# user_id はURLのクエリでなくログインセッションから渡す
def verify_page_request(user_id: str, book_id: str, page: int,
                        expires: int, sig: str, now=None) -> str:
    now = time.time() if now is None else now
    msg = f"{user_id}:{book_id}:{page}:{expires}".encode()
    expected = hmac.new(SECRET, msg, hashlib.sha256).hexdigest()
    if not hmac.compare_digest(expected, sig):
        return "403 bad signature"
    if now > expires:
        return "403 expired"
    q = _recent[user_id]
    while q and now - q[0] > 60:
        q.popleft()
    if len(q) >= PAGE_LIMIT:
        return "429 too many pages"
    q.append(now)
    return "200 ok"

同じ会員IDで1分以内に130ページを要求させると、120ページ目までが「200 ok」、残り10ページが「429 too many pages」になります。ページ番号だけを書き換えたURLは「403 bad signature」、61秒後に同じURLを使うと「403 expired」です。このコードは1つのプロセスで順に処理する前提のデモです。本番ではカウンタをRedisなどの共有ストアに置いて複数のサーバーで同じ数を見られるようにし、件数の判定と追加を1回の原子的な操作で行います。判定と追加が別々だと、同時に届いたリクエストが同じ件数を読んで上限を超えます。

上限に当たったアカウントを即座に停止するのは避けます。読み込みが速い端末や、ページを素早くめくる正規の読者を巻き込むためです。まずは429で待たせ、同じ作品の全ページを一定時間内に取りきるような明らかなパターンが続いたときだけ、アカウント単位で調査に回します。IPアドレス単位でnginxやAWS WAFに上限を置く設定はオズモールの不正アクセスと最大44万件のメールアドレス｜海外からの大量アクセスを止める設計で扱っています。

サービス停止基準の区分｜攻撃検知時と脆弱性公表時

とらのあなは2026年に、性質の違う2つの理由で電子書籍を止めました。5月は攻撃を検知したその日に止め、10月は攻撃の検知ではなく、PHPの修正版が公開された翌日に予防として止めています。前者は流出を断ち切るための停止、後者は修正が済むまでの予防の停止です。止める基準も、これに合わせて分けて決めておくと判断が速くなります。

• 攻撃を検知したとき：何ページ・何作品の異常取得で閲覧を止めるか。作家の売上を預かる配信事業者にとって、止めずに様子を見ることは流出が続くことを意味します。
• 使っているソフトウェアに深刻な脆弱性が公表されたとき：修正版をすぐ当てられない環境（古い版のPHP、外部委託先が管理するサーバーなど）を、公表前から一覧にしておく。PHPは10月20日に前日予告を出していたため、一覧があれば予告の時点で止める範囲を決められます。
• 戻す順番：とらのあなは10月23日に、インフォメーションとFAQを先に戻し、購入と閲覧を扱う電子書籍は止めたままにしました。会員情報や決済に触れないページから戻すと、問い合わせ窓口を早く開けられます。

どちらの場合も、紙の通販のように止めない範囲の切り分けと告知文の雛形を事前に用意しておきます。自社のWebサービスで使っている言語・ミドルウェアの版と、脆弱性の影響を受ける箇所を洗い出すには、脆弱性診断・セキュリティ診断で外部から確かめる方法もあります。

とらのあな電子書籍の停止と不正アクセスに関するよくある質問

とらのあなの電子書籍は今使えますか？

2026年10月23日時点では使えません。10月22日から電子書籍の購入と、本棚・ビューアでの閲覧が止まっており、再開時期は「未定」です。紙の同人誌などの通信販売と実店舗は通常どおり使えます。

とらのあなで情報漏洩はありましたか？

公表はありません。10月の停止について虎の穴は「弊社起因の障害・情報漏洩等ではございません」と説明し、5月の不正クローリングでも会員情報・パスワード・クレジットカード情報の流出は「一切ございません」としています。

とらのあなの停止はPHPとどう関係していますか？

10月21日にPHPの深刻な脆弱性2件（CVE-2026-109618・CVE-2026-109619）の修正版が公開され、虎の穴は暫定的な緩和策だけでは安全を保てないと判断して、修正の適用と安全確認が終わるまで電子書籍を止めました。とらのあなのどのシステムがPHPで動いているかは公表されていません。

購入履歴や買った作品が表示されないのはなぜですか？

10月22日からは電子書籍の本棚自体が止まっているため、購入済みの作品は表示されません。再開後も表示されないときは、購入履歴で購入を確かめてから本棚ページ右上の「同期」ボタンを押します。深夜1時〜2時ごろの購入は反映が遅れることがあり、購入時と別の会員IDでログインしている場合も表示されません。

退会すると個人情報や買った電子書籍はどうなりますか？

電子書籍は購入した会員IDでしか読めないため、退会すれば本棚の作品も読めなくなります。予約を含む注文が残っていると退会できず、とらコインの残高は払い戻されません。退会後の個人情報の保存・削除についてはとらのあなの個人情報保護方針を確認し、不明な点は公式のお問い合わせ窓口へ問い合わせてください。

関連記事

• PHP2Shellとは：CVE-2026-109618・109619の影響範囲と修正版・更新できない場合の設定【2026年10月】
• コミックシーモア不正アクセスで会員情報流出：再開時期・パスワード再設定と運営側のログ点検
• Renta!不正アクセスでサービス停止：再開未定の現状と運営側の停止判断・証拠保全・段階的再開
• スクレイピングとは？クローリング・APIとの違いと実装・法務の判断を解説
• オズモールの不正アクセスと最大44万件のメールアドレス｜海外からの大量アクセスを止める設計