2026年10月9日
【重要】Movable Typeの脆弱性（CVE-2026-96408／CVE-2026-103668）に関する注意喚起について（2026年10月14日 更新）
平素は弊社サービスをご利用いただき、誠にありがとうございます。
このたび、コンテンツ管理システム「Movable Type」において、外部からの攻撃により第三者による任意のコード実行（Webサイトの乗っ取り）やデータベースの不正操作を引き起こすおそれのある、重大な脆弱性（CVE-2026-96408／CVE-2026-103668）が公表されました。
本脆弱性は認証やログインを必要とせず、以下に該当するバージョンのMovable Typeが設置されている場合に攻撃の対象となります。
現時点では、弊社サービスにおいて本脆弱性を悪用した被害は確認しておりませんが、
Movable Typeをご利用のお客様は、至急、修正版へのアップデート等の対策を実施していただきますようお願い申し上げます。
----------------------------------------------------------------------
■公表された脆弱性
・CVE-2026-96408
アップグレードスクリプト（mt-upgrade.cgi）において、
リモートコード実行や不正なSQLが実行されるおそれがある脆弱性
・CVE-2026-103668
サイト内検索（mt-search.cgi）において、不正なSQLが実行され、
非公開データを含むデータが出力されるおそれがある脆弱性
■影響を受けるプログラム
・mt-upgrade.cgi
・mt-search.cgi
※開発元では、緩和策として mt-ftsearch.cgi についても
アクセスの遮断または削除が案内されております。
■影響を受けるMovable Typeのバージョン
【Movable Type（Advanced Edition含む）】
・9.2.1 以前
・9.0.9 以前
・8.8.5 以前
・8.0.12 以前
【Movable Type Premium（Advanced Edition含む）】
・9.2.1 以前
・9.0.9 以前
・2.17 以前
※サポートが終了したバージョン（Movable Type 8.4.x、7.x以前、
Movable Type Premium 1.x）も影響を受けますが、修正版は提供されません。
■修正版
【Movable Type（Advanced Edition含む）】
・9.3.0
・9.0.10
・8.8.6
・8.0.13
【Movable Type Premium（Advanced Edition含む）】
・9.3.0
・9.0.10
・2.18
■お客様へのお願い（重要）
本脆弱性が悪用されるリスクおよび緊急性を踏まえ、
影響を受けるバージョンのMovable Typeが設置されている可能性があるサイトを対象に、
弊社にて暫定措置として mt-upgrade.cgi のパーミッションを「000」へ変更し、外部からアクセスできない状態にしております。
また、mt-search.cgi／mt-ftsearch.cgiに関しましても、今後状況に応じてパーミッションを「000」に変更させていただく可能性がございます。
弊社にてパーミッションを「000」に変更したファイルがある場合は、お手数ですが
パーミッションを元の設定に戻していただいたうえで、アップデートをお願いいたします。
※パーミッションが「000」のままでは、修正版のファイルをアップロードする際に
ファイルを上書きできず、アップデートが正常に完了しない場合がございます。
サポートが終了したバージョンをご利用の場合は、修正版が提供されないため、
サポート中のバージョンへの移行をご検討ください。
詳細は、開発元であるシックス・アパート株式会社の以下のお知らせを
ご確認ください。
https://www.sixapart.jp/movabletype/news/2026/10/07-1100.html
----------------------------------------------------------------------
今後もお客様に安心してご利用いただけるよう、サービスおよびセキュリティの向上に努めてまいります。
今後ともどうぞよろしくお願い申し上げます。
（10月14日 更新）
関連する脆弱性「CVE-2026-103668」を追記いたしました。
このたび、コンテンツ管理システム「Movable Type」において、外部からの攻撃により第三者による任意のコード実行（Webサイトの乗っ取り）やデータベースの不正操作を引き起こすおそれのある、重大な脆弱性（CVE-2026-96408／CVE-2026-103668）が公表されました。
本脆弱性は認証やログインを必要とせず、以下に該当するバージョンのMovable Typeが設置されている場合に攻撃の対象となります。
現時点では、弊社サービスにおいて本脆弱性を悪用した被害は確認しておりませんが、
Movable Typeをご利用のお客様は、至急、修正版へのアップデート等の対策を実施していただきますようお願い申し上げます。
----------------------------------------------------------------------
■公表された脆弱性
・CVE-2026-96408
アップグレードスクリプト（mt-upgrade.cgi）において、
リモートコード実行や不正なSQLが実行されるおそれがある脆弱性
・CVE-2026-103668
サイト内検索（mt-search.cgi）において、不正なSQLが実行され、
非公開データを含むデータが出力されるおそれがある脆弱性
■影響を受けるプログラム
・mt-upgrade.cgi
・mt-search.cgi
※開発元では、緩和策として mt-ftsearch.cgi についても
アクセスの遮断または削除が案内されております。
■影響を受けるMovable Typeのバージョン
【Movable Type（Advanced Edition含む）】
・9.2.1 以前
・9.0.9 以前
・8.8.5 以前
・8.0.12 以前
【Movable Type Premium（Advanced Edition含む）】
・9.2.1 以前
・9.0.9 以前
・2.17 以前
※サポートが終了したバージョン（Movable Type 8.4.x、7.x以前、
Movable Type Premium 1.x）も影響を受けますが、修正版は提供されません。
■修正版
【Movable Type（Advanced Edition含む）】
・9.3.0
・9.0.10
・8.8.6
・8.0.13
【Movable Type Premium（Advanced Edition含む）】
・9.3.0
・9.0.10
・2.18
■お客様へのお願い（重要）
本脆弱性が悪用されるリスクおよび緊急性を踏まえ、
影響を受けるバージョンのMovable Typeが設置されている可能性があるサイトを対象に、
弊社にて暫定措置として mt-upgrade.cgi のパーミッションを「000」へ変更し、外部からアクセスできない状態にしております。
また、mt-search.cgi／mt-ftsearch.cgiに関しましても、今後状況に応じてパーミッションを「000」に変更させていただく可能性がございます。
弊社にてパーミッションを「000」に変更したファイルがある場合は、お手数ですが
パーミッションを元の設定に戻していただいたうえで、アップデートをお願いいたします。
※パーミッションが「000」のままでは、修正版のファイルをアップロードする際に
ファイルを上書きできず、アップデートが正常に完了しない場合がございます。
サポートが終了したバージョンをご利用の場合は、修正版が提供されないため、
サポート中のバージョンへの移行をご検討ください。
詳細は、開発元であるシックス・アパート株式会社の以下のお知らせを
ご確認ください。
https://www.sixapart.jp/movabletype/news/2026/10/07-1100.html
----------------------------------------------------------------------
今後もお客様に安心してご利用いただけるよう、サービスおよびセキュリティの向上に努めてまいります。
今後ともどうぞよろしくお願い申し上げます。
（10月14日 更新）
関連する脆弱性「CVE-2026-103668」を追記いたしました。
