Movable Typeにおける複数の脆弱性
3行でわかる
01何が起きたMovable Typeに複数の脆弱性が発見された。
02注意すべき人・企業脆弱性の影響を受けるMovable Type／Movable Type Premiumを利用してサイトを運営する企業・個人。
03今すぐの対策最新版へのアップデートを実施することを推奨。
概要
シックス・アパート株式会社が提供するMovable Typeには複数の脆弱性が存在します。
影響を受ける製品
- Movable Type
- 9.2.1およびそれ以前（9.2系、クラウド版のみ）
- 9.0.9およびそれ以前（9.0系、Advanced 含む）
- 8.8.5およびそれ以前（8.8系、Advanced 含む）
- 8.0.12およびそれ以前（8.0系、Advanced 含む）
- Movable Type Premium
- 9.2.1およびそれ以前（9.2系、クラウド版のみ）
- 9.0.9およびそれ以前（9.0系、Advanced 含む）
- 2.17およびそれ以前（2系、Advanced 含む）
サポートが終了した Movable Type 8.4系、7系およびそれ以前のバージョン、Movable Type Premium 1系も本脆弱性の影響を受けます。
想定される影響・悪用状況
想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。
- システム上で任意のPerlコードやSQLクエリが実行される（CVE-2026-96408）
- システム上でSQLクエリが実行される（CVE-2026-103668）
深刻度
本脆弱性の詳細については以下のCVSSスコアが示されています。
- アップグレードスクリプトにおけるコードインジェクション（CVE-2026-96408）: CVSS基本値 9.3
- サイト内検索機能におけるSQLインジェクション（CVE-2026-103668）: CVSS基本値 8.8
対策
アップデートパッチ適用：ソフトウェアやファームウエアに発見された脆弱性や不具合を修正するための更新プログラムを適用し、システムを安全な状態に保つこと。詳しく見る →する
開発者が提供する情報をもとに、最新版へアップデートしてください。
本脆弱性を修正した次のバージョンがリリースされています。
- Movable Type（Advanced を含む）
- 9.3.0
- 9.0.10
- 8.8.6
- 8.0.13
- Movable Type Premium（Advanced を含む）
- 9.3.0
- 9.0.10
- 2.18
ワークアラウンドを実施する
製品のアップデートが行えない場合は、以下の方法により本脆弱性の影響を緩和できます。
- mt-upgrade.cgi、mt-search.cgi、mt-ftsearch.cgiファイルを削除する、または実行権限を削除する（CGI）
- mt-config.cgiに
RestrictedPSGIApp upgrade、RestrictedPSGIApp new_searchおよびRestrictedPSGIApp ft_searchの設定を追加する（PSGI、MT 6.2およびそれ以降）
詳細は開発者が提供する情報を確認してください。
※本記事は、公的機関が公開した情報をもとにSECURITY DRIVE編集部が要約・解説したものです。正確な内容は出典の一次情報をご確認ください。