注意喚起2026.10.07更新 2026.10.30

Movable Typeに認証なしで悪用できる脆弱性2件。9.3.0などへ更新、古い版はCGIの削除で応急処置

3分で読める
一次資料3件
セキュリティ図鑑編集部

9.4

CVE-2026-96408のCVSS v3

緊急・認証なし

8.6

CVE-2026-103668のCVSS v3

重要

10月7日

修正版の公開日

JVN・IPAも同日

9.3.0

修正版の一つ

9.0.10・8.8.6・8.0.13

SUMMARY

要点をまとめると

01
シックス・アパートは2026年10月7日、CMS「Movable Type」の脆弱性（CVE-2026-96408、CVE-2026-103668）を直した9.3.0・9.0.10・8.8.6・8.0.13などを公開しました。
02
認証なしで悪用でき、深刻度は「緊急」です。
03
ソフトウェア版は修正版へ更新し、すぐできなければ mt-upgrade.cgi などを削除してください。

TO DO

やること全4つと手順を見る →

この記事をスライドで理解する（7枚）

1 / 7

この記事の流れ

Movable Typeに認証なしで悪用できる脆弱性2件。9.3.0などへ更新、古い版はCGIの削除で応急処置

Movable Typeにどんな穴が見つかったの？

アップグレード用スクリプトの穴（CVSS 9.4）と、サイト内検索のSQLインジェクション（8.6）です。10月27日時点で悪用の報告はありません。

9.4CVE-2026-96408のCVSS v3

8.6CVE-2026-103668のCVSS v3

10月7日修正版の公開日

9.3.0修正版の一つ

数字で見る

数字で見ると、こうなります

CVE-2026-96408のCVSS v3：9.4／CVE-2026-103668のCVSS v3：8.6

緊急 9.4CVE-2026-96408mt-upgrade.cgiのコードインジェクション。任意のPerlコードやSQLを実行

重要 8.6CVE-2026-103668mt-search.cgiのSQLインジェクション。非公開データを出力されるおそれ

POINT 1

発表されている事実

Movable Typeにどんな穴が見つかったの？

アップグレード用スクリプトの穴（CVSS 9.4）と、サイト内検索のSQLインジェクション（8.6）です。10月27日時点で悪用の報告はありません。

本文で読む

対象ソフトウェア版9.0.9以前、8.8.5以前、8.0.12以前、Premium 2.17以前など

古い版サポート終了の版8.4系、7系以前、Premium 1系も影響。4系から7系も

クラウドクラウド版9.2.1以前。自動アップデートが有効なら更新済み

POINT 2

影響を受ける人

うちの古いサイトも対象になる？

9.0.9以前や8.8.5以前などが対象で、サポートが終わった版も影響を受けます。長く手を入れていない古いサイトほど注意が必要です。

本文で読む

STEP 1バージョンを確かめる制作会社任せなら版と更新の予定を問い合わせる

STEP 2修正版に更新バックアップを取り、別のフォルダに入れて切り替える

STEP 3できなければ応急処置mt-upgrade.cgiなどを削除。更新の代わりにはならない

STEP 4検索の停止を知らせる応急処置でサイト内検索が止まることを周知

POINT 3

今すぐやること

どうやって対処すればいいの？

まずバージョンを確かめ、9.3.0や9.0.10などの修正版に更新します。すぐ無理なら該当スクリプトを止める応急処置をしてください。

本文で読む

前提サポート切れは修正なしサポートの切れた版では修正を受けられない

計画移行や公開終了も更新が難しいサイトは計画を立てる

つなぎ更新までWAF既知の攻撃を止められる場合がある

POINT 4

同じことを防ぐには

また同じことが起きないようにするには？

サポートの切れた版は修正を受けられません。移行や公開終了も含めて計画を立て、更新までの間はWAFで既知の攻撃を止める手もあります。

本文で読む

バージョンを確かめる。

修正版に更新する。

すぐ更新できない場合は応急処置をする。

まとめ

今すぐやること

くわしい手順と出典は、本文で確かめてください。

本文で読む

国内の企業サイトや自治体サイトで広く使われているCMS「Movable Type」に、深刻な脆弱性が見つかりました。開発元のシックス・アパートは2026年10月7日に修正版を公開し、同じ日にJVNとIPAも情報を出しています。ログインしていない第三者が、サーバー上でプログラムを実行したり、データベースの中身を引き出したりできるおそれがあります。

01発表されている事実

社長

Movable Typeにどんな穴が見つかったの？

アップグレード用スクリプトの穴（CVSS 9.4）と、サイト内検索のSQLインジェクション（8.6）です。10月27日時点で悪用の報告はありません。

ハカセ

緊急 9.4CVE-2026-96408

mt-upgrade.cgiのコードインジェクション。任意のPerlコードやSQLを実行

重要 8.6CVE-2026-103668

mt-search.cgiのSQLインジェクション。非公開データを出力されるおそれ

10月27日時点で悪用の報告はない。発見はGMO Flatt SecurityのRyotaK氏

CVE	場所と内容	深刻度
CVE-2026-96408	アップグレード用のスクリプト（mt-upgrade.cgi）のコードインジェクション。任意のPerlコードやSQLを実行されるおそれ	緊急（CVSS v3 9.4）
CVE-2026-103668	サイト内検索（mt-search.cgi）のSQLインジェクション。非公開データを含むデータを出力されるおそれ	重要（CVSS v3 8.6）

このほかにも複数の問題が直されています。発見したのはGMO Flatt SecurityのRyotaK氏です。10月27日時点で、開発元・JVN・IPAの発表に悪用の報告はありません。

02影響を受ける人

社長

うちの古いサイトも対象になる？

9.0.9以前や8.8.5以前などが対象で、サポートが終わった版も影響を受けます。長く手を入れていない古いサイトほど注意が必要です。

ハカセ

対象ソフトウェア版

9.0.9以前、8.8.5以前、8.0.12以前、Premium 2.17以前など

古い版サポート終了の版

8.4系、7系以前、Premium 1系も影響。4系から7系も

クラウドクラウド版

9.2.1以前。自動アップデートが有効なら更新済み

Movable Type 9.0.9以前（9.0系）、8.8.5以前、8.0.12以前、クラウド版の9.2.1以前、Movable Type Premium 2.17以前などを使っている会社です。サポートが終わった8.4系、7系以前、Premium 1系も影響を受けます。開発元は4系から7系までの版も影響範囲に挙げています。長く手を入れていない古いサイトほど注意が必要です。

クラウド版は自動アップデートが初期設定で有効で、開発元は「有効な環境では更新が完了している」としています。自動アップデートを止めている場合は手動で更新します。

03今すぐやること

社長

どうやって対処すればいいの？

まずバージョンを確かめ、9.3.0や9.0.10などの修正版に更新します。すぐ無理なら該当スクリプトを止める応急処置をしてください。

ハカセ

STEP 1バージョンを確かめる

制作会社任せなら版と更新の予定を問い合わせる

STEP 2修正版に更新

バックアップを取り、別のフォルダに入れて切り替える

STEP 3できなければ応急処置

mt-upgrade.cgiなどを削除。更新の代わりにはならない

STEP 4検索の停止を知らせる

応急処置でサイト内検索が止まることを周知

バージョンを確かめる。管理画面の下部やシステムの情報に表示されます。サイトを制作会社に任せている場合は、使っている版と更新の予定を問い合わせてください。
修正版に更新する。Movable Typeは9.3.0、9.0.10、8.8.6、8.0.13、Premiumは9.3.0、9.0.10、2.18です。開発元は、データベースのバックアップを取り、上書きではなく別のフォルダに入れて切り替える方法を強く勧めています。年間メンテナンスが切れていると、最新版の入手に購入が必要です。
すぐ更新できない場合は応急処置をする。CGIで動かしているなら、mt-upgrade.cgi、mt-search.cgi、mt-ftsearch.cgi を削除するか、実行できないようにします。PSGIで動かしているなら、mt-config.cgi に RestrictedPSGIApp の upgrade、new_search、ft_search を加えます。これは更新の代わりにはなりません。
サイト内検索を使っている場合は、応急処置で検索が止まることを社内や利用者に知らせておきます。