しらべベース / 全サイトを探すアカウント防犯しらべの条件検索・比較保存範囲・台帳

Movable Typeの脆弱性とは？対象バージョンと修正版を解説（2026年10月7日公表）

・ 更新 ・ アカウント乗っ取り・注意喚起速報ニュース編集部（AI 執筆）

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシングMovable Typeシックス・アパート脆弱性アップデートJVN

この記事のポイント: シックス・アパートは2026年10月7日、Movable Typeに複数の脆弱性があると発表しました。CVE-2026-96408はアップグレードスクリプトのコードインジェクションでCVSS v4.0基本値9.3・認証不要のリモートコード実行です。対象版は9.2.1以前など、修正版は9.3.0・9.0.10・8.8.6・8.0.13です。

Movable Typeの脆弱性とは？対象バージョンと修正版を解説（2026年10月7日公表）

シックス・アパート株式会社は2026年10月7日、CMS「Movable Type」に複数の脆弱性があると発表しました（JVN#91153973）。CVE-2026-96408 はアップグレードスクリプトにおけるコードインジェクションで、CVSS v4.0 基本値 9.3・ネットワーク経由かつ認証不要のリモートコード実行です。影響を受けるバージョンを運用しているサイトは、修正版への更新、または当面は対象 CGI の停止が最優先の対策です。

この脆弱性の要点（2026年10月7日公表）

シックス・アパートは2026年10月7日に「Movable Type をご利用の方へ、脆弱性対策実施のお願い」を公開し、2件の脆弱性を修正しました。うち CVE-2026-96408（アップグレードスクリプト mt-upgrade.cgi のコードインジェクション）は JVN の記載で CVSS v4.0 基本値 9.3・CVSS v3.0 基本値 9.4（いずれも Critical）で、ネットワーク経由・認証不要・ユーザー操作不要の悪用が可能です。出典: JVN、シックス・アパート プレスリリース（2026年10月7日取得）。

影響する製品とバージョン

サポート中の Movable Type / Movable Type Advanced では 9.2.1 以前（9.2系・クラウド版）、9.0.9 以前（9.0系）、8.8.5 以前（8.8系）、8.0.12 以前（8.0系）が対象です。Movable Type Premium / Premium Advanced では 9.2.1 以前、9.0.9 以前、2.17 以前が対象です（シックス・アパート プレスリリース、2026年10月7日取得）。修正版は Movable Type 9.3.0 / 9.0.10 / 8.8.6 / 8.0.13、Premium 9.3.0 / 9.0.10 / 2.18 です。出典: シックス・アパート プレスリリース。

クラウド版で自動アップデートを無効にしている環境は、手動での更新が必要です（シックス・アパート プレスリリース、2026年10月7日取得）。

悪用された場合に何が起きるか

CVE-2026-96408 はネットワーク経由・認証不要で、システム上で任意の Perl コードや SQL クエリが実行される問題です（JVN）。CMS は管理画面とサイトデータを握る基盤であり、コード実行が成功すると管理者認証情報の窃取、管理機能の不正利用、サイト改ざん、サイト経由の訪問者への悪意あるページ配信などに繋がる恐れがあります。CVE-2026-103668 では検索結果経由で非公開データを含むデータが出力されるおそれが指摘されています（シックス・アパート プレスリリース）。出典: JVN、シックス・アパート プレスリリース（2026年10月7日取得）。

本記事の執筆時点（2026年10月7日）で、この脆弱性によるアカウント乗っ取りやパスワード流出の被害事例の公表は確認できていません。ただし管理者アカウントを握れるコード実行の可能性がある以上、利用者側でも「管理画面のパスワード変更」「二段階認証の有効化」「直近の不正ログイン履歴の確認」を並行して進めておく価値があります。

管理者が今すぐ取るべき対策

第一の対策は修正版へのアップデートです。Movable Type / Advanced は 9.3.0 / 9.0.10 / 8.8.6 / 8.0.13、Premium は 9.3.0 / 9.0.10 / 2.18 へ更新してください（シックス・アパート プレスリリース、2026年10月7日取得）。更新できない環境は、シックス・アパートが示したワークアラウンドで当面の被害を防ぎます。出典: シックス・アパート プレスリリース、RestrictedPSGIApp ドキュメント。

よくある質問

Q. Movable Type の脆弱性（CVE-2026-96408）とは何ですか？

A. アップグレードスクリプト mt-upgrade.cgi におけるコードインジェクションで、リモートコード実行や不正な SQL が実行されるおそれがある脆弱性です。JVN の記載で CVSS v4.0 基本値 9.3・CVSS v3.0 基本値 9.4（Critical）、ネットワーク経由かつ認証不要です（JVN#91153973、2026年10月7日取得）。

Q. Movable Type は今すぐ更新すべきですか？

A. 対象バージョン（MT 9.2.1 以前・9.0.9 以前・8.8.5 以前・8.0.12 以前、Premium 9.2.1 以前・9.0.9 以前・2.17 以前）を運用しているなら、更新できる範囲で最優先です。更新できない場合は mt-upgrade.cgi・mt-search.cgi・mt-ftsearch.cgi の停止、または RestrictedPSGIApp の設定で当面の被害を防いでください（シックス・アパート プレスリリース、2026年10月7日取得）。

Q. 自社の Movable Type が対象かどうか確認するには？

A. 管理画面のバージョン表示、または mt-config.cgi などの環境ファイルで Movable Type のバージョンを確認し、対象一覧（9.2.1 以前・9.0.9 以前・8.8.5 以前・8.0.12 以前、Premium は 9.2.1 以前・9.0.9 以前・2.17 以前）と突き合わせてください。サポート終了版も対象です。修正版は MT 9.3.0 / 9.0.10 / 8.8.6 / 8.0.13、Premium 9.3.0 / 9.0.10 / 2.18 です（シックス・アパート プレスリリース、2026年10月7日取得）。

Q. この脆弱性でアカウント乗っ取りやパスワード流出は起きていますか？

A. 執筆時点（2026年10月7日）で、この脆弱性によるアカウント乗っ取りやパスワード流出の被害事例の公表は確認できていません。ただし認証不要のリモートコード実行が可能である以上、管理アカウントの侵害に繋がる恐れはあり、管理者側の更新と利用者側の二段階認証・パスワード変更を推奨します（JVN、シックス・アパート プレスリリース、2026年10月7日取得）。

Q. MovableType.net も影響を受けますか？

A. シックス・アパートのプレスリリースでは、MovableType.net は影響なしと明記されています（シックス・アパート プレスリリース、2026年10月7日取得）。

Movable Type を運営しているサイトでは、管理者アカウントを守るために二段階認証の有効化とパスワード変更を推奨します。アカウント乗っ取り・注意喚起速報ニュースでは、制度・脆弱性・サービス変更など「利用者が今日から取るべき行動」が変わる発表を一次情報で解説しています。

出典: JVN（JVN#91153973 Movable Typeにおける複数の脆弱性）、シックス・アパート株式会社 プレスリリース「Movable Type をご利用の方へ、脆弱性対策実施のお願い」（2026年10月7日公開、2026年10月7日取得）。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針