直せないなら、作り直す。ニトロプラスの公式通販が閉鎖を選んだ判断を読む

• ニトロプラスの公式通販「ニトロオンラインストア」は、PHPの脆弱性に今のシステムでは対応が難しいとして、旧サイトを閉鎖
• システムを全面改修した新サイトを2026年11月下旬に公開する予定。流出や不正利用は確認されていない
• 脆弱性への対応には「更新する」「止める」「作り直す」の3つがある。今回は、止めたうえで作り直すことを選んだ

ゲームの企画・開発やキャラクターデザインを手がけるニトロプラスが10月23日、公式通販サイト「ニトロオンラインストア」を閉鎖し、新しいサイトに移ると発表した。

理由は、今週公表されたPHPの重大な脆弱性だ。サイトを止めて緊急メンテナンスをしていたが、今のシステムでは対応が難しく、十分な安全性を確保できないと判断したという。

騒動のあいだ、多くのサイトが「止めて、更新して、再開する」道をとった。ニトロプラスは再開しないことを選んだ。この判断は、古いシステムを抱えている会社なら他人事ではない。

公式が発表していること

• PHPの深刻な脆弱性に対応するため、サイトを一時閉鎖して緊急メンテナンスをしていた
• しかし、現在のシステムでは対応が難しく、十分な安全性が確保できないという結論になった
• 今のサイトはこのまま閉鎖し、システムを全面改修した新サイトを2026年11月下旬に公開する予定
• 旧サイトで予約受付中だった新商品は、新サイトでも扱う予定
• 旧サイトですでに注文した人には、予定どおり発送する。発送にあたって連絡することがある
• 現時点で、顧客情報の外部流出や不正利用などの被害は確認されていない

なぜ対応が難しかったのか、どの部分が問題だったのかは書かれていない。ここでは推測で埋めない。

なお、同社は10月19日にも「サーバーメンテナンスに伴うサービス一時停止」を告知している。こちらは10月26日夜に公式サイトなどを一時停止する予定の作業で、通販の閉鎖とは別のお知らせだ。

注文した人、予約したかった人へ

• 注文済みなら、待てばよい。予定どおり発送される
• 発送の連絡が来ることがある。旧サイトのサポートの問い合わせ先として、公式は nitroplus_store@gsls.jp を案内している。見慣れない宛先からの連絡は、公式のお知らせに書かれたものと同じかを確かめる
• 予約できなかった商品は、新サイトの公開を待つ。公開日などは後日あらためて知らせるという
• 騒ぎに便乗した「新サイトはこちら」のような連絡やリンクには注意する。新サイトの場所は、ニトロプラスの公式サイトのお知らせから確かめるのが確実だ

「更新」「停止」「作り直し」

ここからは一般論として整理する。脆弱性が見つかったとき、サイトを持つ側の選択肢は大きく3つある。

今回の脆弱性では、PHPの開発元は8.2〜8.5の各系列に修正版を出した。だが8.1以前には出していない。古い版で動いていて、アプリが新しい版に対応していなければ、「更新する」が選べない。

日本経済新聞は、PHPを使うサイトの半分はバージョンが古くサポートが切れていて、修正が難しいと報じている。ニトロプラスがどうだったかは分からないが、同じ立場のサイトは多いということだ。

止めて終わりにした判断は、責められない

通販サイトには、名前、住所、電話番号、注文履歴が集まる。安全を確かめられないまま再開するより、閉じて作り直すほうが、利用者にとっては安全だ。

このサイトでは「被害」と「予防の停止」は別物だと書いた。ニトロプラスも被害は確認されていない。止めたのは不手際ではなく、判断だ。

ただ、作り直しには約1か月の売り場の空白が出る。予約の時期と重なれば、影響は小さくない。平時に作り直しておけば、空白は出なかった。そこが今回いちばんの教訓だと思う（ここは筆者の見方）。

自分のサイトで確かめておくこと

1. PHPのバージョンを知っているか。8.1以前なら、今回の修正版は出ていない
2. そのサイトは新しいPHPで動くかを、誰かが確かめたことがあるか
3. 通販やシステムがパッケージや外部のサービスなら、その提供元はまだ更新を出しているか
4. 中身が分かる人はいるか。作った会社や担当者と、今も連絡が取れるか
5. どれかが「いいえ」なら、次の脆弱性が来る前に、作り直しの見積もりだけでも取っておく

外から見て、自分のサイトのPHPがどう見えているかは、このサイトの簡易PHP診断で目安を出せる。

Cloudflareの最高経営責任者は「同じような穴はまだ出てくる」と予告している。直せないシステムは、次も同じ判断を迫られる。

まとめ

• ニトロオンラインストアは、PHPの脆弱性に今のシステムでは対応できないとして閉鎖
• 新サイトは2026年11月下旬に公開予定。注文済みの商品は予定どおり発送
• 流出や不正利用は確認されていない。直せなかった理由は未公表
• 脆弱性への対応は更新・停止・作り直しの3つ。8.1以前は修正版が出ていない
• 作り直しは、事件のあとより平時のほうが安くて静かに済む

出典

• ニトロプラス「公式通販のサイト閉鎖、ならびに新サイト2026年11月下旬公開のお知らせ」（2026年10月23日）
• ニトロプラス「サーバーメンテナンスに伴うサービス一時停止のお知らせ」（2026年10月19日。通販の件とは別の告知）
• PHP「Security advisory: Critical remote code execution vulnerabilities, update now」（2026年10月21日。修正版は8.5.12 / 8.4.27 / 8.3.36 / 8.2.35、8.1以前は開発元からの更新なし）
• 日本経済新聞「PHP脆弱性、利用サイトの半分が修正困難　バージョン古くサポート終了」（2026年10月24日、見出しによる）
• スポーツニッポン「ニトロプラス公式通販　旧サイト閉鎖→新サイト移行へ」（2026年10月24日配信）

本記事は2026年10月24日時点の公式発表と報道に基づく。ニトロプラスが対応できなかった理由は公表されておらず、「更新・停止・作り直し」の節は一般論である。新サイトの公開日などは、ニトロプラスの公式のお知らせで確認すること。