平素より弊社サービスをご利用いただき、誠にありがとうございます。

 

2026年11月11日、シックス・アパート株式会社が提供する CMS「Movable Type」に脆弱性が公表されました。
弊社サーバーで Movable Type をご利用のお客様は、下記をご確認のうえ、早めの更新をお願いいたします。

 

■ 脆弱性の概要

Movable Type のダイナミックパブリッシング機能に、コードインジェクションの脆弱性があります。
細工したリクエストを送られると、ログインしていない第三者に、サーバー上で任意の PHP コードを実行されるおそれがあります。

 

・識別番号：JVN#11786640／CVE-2026-117687

・深刻度　：CVSS v3.0 基本値 7.3

 

■ 影響を受けるバージョン

・Movable Type 8.8.6 以前（8.8 系）

・Movable Type 8.0.13 以前（8.0 系）

・Movable Type Premium 2.18 以前

・Movable Type 8.4 系、Movable Type 7（いずれもサポート終了済み）

 

※ 2026年10月の脆弱性（JVN#91153973）の対応で 8.8.6／8.0.13 に更新済みの場合も、今回の対象となります。

※ Movable Type 9 は対象外です。

 

■ 対策

開発元が公開している修正版へ更新してください。

・Movable Type 8.8.7

・Movable Type 8.0.14

・Movable Type Premium 2.19

 

サポートが終了した 8.4 系・Movable Type 7 には修正版が提供されません。

サポート中のバージョンへの移行をご検討ください。

 

■ すぐに更新できない場合（暫定策）

開発元は、設定ファイル（mt-config.cgi）に次の 1 行を追加し、

ダイナミックパブリッシングでの PHP の実行を無効にすることを推奨しています。

 

　DynamicTemplateAllowPHP 0

 

ダイナミックパブリッシングのテンプレート内で PHP を使っている場合、

その部分が動作しなくなります。設定後はサイトの表示をご確認ください。

 

■ 参考情報

・JVN#11786640：https://jvn.jp/jp/JVN11786640/

・開発元のお知らせ：https://www.sixapart.jp/movabletype/news/2026/11/11-1100.html

 

Movable Type はお客様ご自身で設置・管理いただくアプリケーションのため、

更新・設定変更はお客様ご自身でお願いいたします。

具体的な手順は、開発元の案内をご確認ください。

 

 

今後とも弊社サービスをよろしくお願いいたします。