Movable Typeで、アップグレード処理を通じたリモートコード実行や不正なSQL実行、サイト内検索を通じた非公開データの出力につながる脆弱性が修正されました。シックス・アパートは2026年10月7日、修正版を複数の系列で公開しています。サポートが終了したバージョンも影響対象に含まれます。
アップグレード処理とサイト内検索に脆弱性
アップグレードスクリプトの「mt-upgrade.cgi」では、リモートコード実行（RCE）や不正なSQLが実行されるおそれがある問題が修正されました。該当する脆弱性識別番号はCVE-2026-96408です。
サイト内検索の「mt-search.cgi」では、不正なSQLが実行され、非公開データが出力されるおそれがある問題が修正されました。こちらの識別番号はCVE-2026-103668です。
今回の対象にはMovable TypeとMovable Type Advancedのほか、Movable Type Premiumと同Advanced Editionも含まれます。MovableType.netは影響対象外です。
現行系列とサポート終了版が対象
通常の対象バージョンは、Movable Type／Advancedが9.2.1以前、9.0.9以前、8.8.5以前、8.0.12以前です。Movable Type Premium系は9.2.1以前、9.0.9以前に加え、8.0系・8.8系を基盤とする2.17以前が対象です。
サポートが終了した版では、Movable Type 4.0〜4.38、5.0〜5.2.13、6.0および6.0.1〜6.8.8、7 r.4207〜r.5510、8.4.0〜8.4.4が影響対象です。4系のうちサイト内検索の問題は4.3以降が対象です。
Movable Type Premium系では、サポート終了版の1.0〜1.68も対象です。利用者には修正版への更新が案内されています。
系列別の修正版を公開
公開された修正版は、Movable Type 9.3.0、9.0.10、8.8.6、8.0.13です。Movable Type Premiumでは9.3.0、9.0.10、2.18が提供され、2.18には8.8.6ベースと8.0.13ベースがあります。
提供形態は系列ごとに異なります。たとえば9.3.0はクラウド版、ソフトウェア版、AMI版が対象で、9.0.10はソフトウェア版とAMI版、8.0.13はソフトウェア版とAMI版です。
9.3.0には、セキュリティ修正のほか、コンテンツデータ一覧から選択したデータを検証する機能や、記事・ウェブページを複製する機能が追加されました。9.0.10にはGmailとOutlookのOAuth 2.0認証に対応するメール送信プラグインが同梱されています。
更新が難しい場合の緩和策
修正版をすぐに適用できない場合、CGI環境では「mt-upgrade.cgi」「mt-search.cgi」「mt-ftsearch.cgi」を削除するか、アクセスを制限して実行を防ぐ方法があります。Movable Type 8以降では「mt-ftsearch.cgi」が提供されていません。
PSGI環境では、CGIファイルの名称変更や削除、実行権限の変更だけでは、そのアプリケーションを停止できません。Movable Type 6.2以降とクラウド版では、環境変数「RestrictedPSGIApp」に禁止するアプリケーションを指定します。
緩和策では「upgrade」と「new_search」を指定し、全文検索機能も対象にする場合は「ft_search」を加えます。「ft_search」は6.2.4以降に対応し、複数のアプリケーションを止める場合はそれぞれを指定します。
Movable Type 6.0／6.1のPSGI環境では、「UpgradeScript」と「SearchScript」に予測できない十分に長い文字列を設定します。クラウド版では自動アップデートが初期設定で有効で、無効にしている場合は管理画面から有効にすると翌日に更新が実行されます。
