Movable Typeに外からコード実行の脆弱性、CVSS 9.3

国産 CMS の Movable Type に、ログインなしで外からコードを実行される脆弱性が見つかりました。CVSS は 9.3 で、PowerCMS も対象です。修正版へ更新するか、対象の CGI を止めてください。

脆弱性の概要

緊急CVSS9.3

影響を受ける製品
製品	対象のバージョン	修正版
Movable Type 9.2系（クラウド版のみ）	9.2.1 以前	9.3.0
Movable Type 9.0系（Advanced 含む）	9.0.9 以前	9.0.10
Movable Type 8.8系（Advanced 含む）	8.8.5 以前	8.8.6
Movable Type 8.0系（Advanced 含む）	8.0.12 以前	8.0.13
Movable Type Premium 9.2系（クラウド版のみ）	9.2.1 以前	9.3.0
Movable Type Premium 9.0系（Advanced 含む）	9.0.9 以前	9.0.10
Movable Type Premium 2系（Advanced 含む）	2.17 以前	2.18
PowerCMS 7.2 / 6.84 / 5.44 / 4.74	修正ファイルの適用前	修正ファイル（10月9日公開）

やること

Movable Type は Web サイトを管理する国産の CMS です。次の修正版へ更新してください。

すぐに更新できない場合は、mt-upgrade.cgi、mt-search.cgi、mt-ftsearch.cgi を削除するか、アクセスを遮断します。PSGI という形で動かしている場合は、RestrictedPSGIApp の設定で止めます。

シックス・アパートと JVN は10月7日に複数の脆弱性を公表しました。

CVE-2026-96408 はアップグレード用のスクリプトの欠陥で、ログインなしで外から Perl のコードや SQL を実行されるおそれがあります。CVSS は v4.0 で 9.3、v3.0 で 9.4 です。

CVE-2026-103668 はサイト内検索の SQL インジェクション（データベースへの不正な命令）で、非公開のデータを含めて出力されるおそれがあります。CVSS は v4.0 で 8.8 です。

このほかにも複数のセキュリティ上の問題が修正されています。JVN と開発元のお知らせに悪用の記載はありません。

サポートが終わった版も影響を受けます。4系、5系、6系、7系、8.4系と Premium 1系で、これらは修正済みの版へ移るか、上の回避策をとります。

PowerCMS も10月8日に同様のリスクがあると公表し、10月9日に 7.2、6.84、5.44、4.74 向けの修正ファイルを会員向けに出しました。適用できない場合は案内された回避策をとります。

自社で確かめること

サイトの CMS と版自社サイトの CMS が Movable Type や PowerCMS かを確認して版を調べ、制作会社に任せている場合は対応の予定を問い合わせてください。

更新していない古いサイトサポートが終わった版も影響を受けるので、更新していない古いサイトや別のドメインのサイトがないかを確認してください。

クラウド版の自動更新クラウド版の自動アップデートは初期設定で有効です。無効にしている場合は早めに更新してください。

自社で確かめるのが難しい場合はCyberScope のセキュリティ診断（3万円から）