自分のサイトはCVE-2026-96408の影響を受けますか？

サイトの構築・更新にCMS「Movable Type」またはその法人版「Movable Type Premium」を使っている場合に影響を受けるおそれがあります。対象はMovable Type 9.0.9以前・8.8.5以前・8.0.12以前など、修正版（9.3.0・9.0.10・8.8.6・8.0.13など）より古い版です。使っているCMSの種類は、サイトの制作・管理会社に確認してください。

重要度：緊急公表：2026年10月7日記事作成：2026年10月25日

CMS「Movable Type」に緊急の脆弱性、外部からコードを実行されるおそれ（CVE-2026-96408）

Q: WordPressを使っていますが、対象ですか？

この脆弱性はMovable Type特有のものなので、WordPressには当てはまりません。ただし、使っているCMSの種類や版が分からない場合は、念のため管理会社に確認しておくと安心です。

Q: 何をすればいいですか？

サイトの管理会社に、使っているCMSがMovable Typeかどうか、版がいくつかを確認してもらい、対象であれば修正版への更新を依頼してください。すぐに更新できない場合は、開発元が案内している回避策（特定のファイルの削除など）についても相談しましょう。

ひとことで言うと：国内で広く使われているCMS「Movable Type」「Movable Type Premium」に、ログインなしで外部から任意のコードを実行されるおそれがある緊急の不具合が見つかりました。使っている場合は、修正版への更新が必要です。新聞社の編集部で記事データを保管する「原稿管理室」にたとえるなら、本来は記者証を提示しないと入れないはずの裏口（システム更新用の入り口）に鍵がかかっておらず、通りかかった誰でも、そこに書類（命令）を差し込むだけで室内のコンピューターにどんな指示でも打ち込めてしまう、という状態です。

何が起きたか

2026年10月7日、シックス・アパート株式会社が提供するCMS（コンテンツ管理システム）「Movable Type」「Movable Type Premium」に、複数の脆弱性（セキュリティ上の弱点）があることが、JPCERT/CCとIPAが共同運営する脆弱性情報サイト「JVN」（JVN#91153973）で公表されました。発見者は、GMOフラット・セキュリティ株式会社のRyotaK氏です。

もっとも深刻なのは「アップグレードスクリプトにおけるコードインジェクション」という不具合（CVE-2026-96408）で、CVSS v3での深刻度は10点満点中9.4（緊急）とされています。ログインや操作なしで、外部から任意のPerlプログラムやSQL命令をサーバー上で実行できてしまう、というものです。もう一つ、サイト内検索機能に関するSQLインジェクションの不具合（CVE-2026-103668、CVSS v3で8.6・重要）も同時に公表されています。原稿管理室で言えば、通常のバージョンアップ作業のための裏口の確認が機能しておらず、記者証も見せずに差し込んだ書類の内容が、そのまま室内の管理コンピューターへの命令として実行されてしまう状態です。もう一つの不具合は、原稿を探すための検索窓口に同じような隙があり、検索語に紛れ込ませた指示でデータベースを操作されてしまうおそれがある、という内容です。

誰に関係するか

サイトの構築・更新にMovable TypeまたはMovable Type Premiumを使っている場合に関係します。具体的な対象版は次のとおりです。

Movable Type 9.0.9以前（9.0系）・8.8.5以前（8.8系）・8.0.12以前（8.0系）
Movable Type Premium 9.0.9以前（9.0系）・2.17以前（2系）
サポートが終了している8.4系・7系以前、Movable Type Premium 1系も対象に含まれています

WordPressやEC-CUBEなど、他のCMSを使っているサイトには当てはまりません。ただ、使っているCMSの種類やバージョンは外からは分かりにくいため、心当たりがない場合も、念のため制作・管理会社に確認しておくと安心です。

何をすべきか

1. 管理会社に確認する

「使っているCMSはMovable Typeか」「バージョンはいくつか」を、サイトを作った会社や管理会社に確認してもらいましょう。HEIMVAIL の無料チェックで作れる「保守会社に渡せる依頼文」をそのまま使えます。

2. 対象なら修正版に更新する

対象だった場合は、Movable Type 9.3.0・9.0.10・8.8.6・8.0.13（Premiumは9.3.0・9.0.10・2.18）など、開発元が公開した修正版への更新を依頼します。

3. すぐに更新できない場合

開発元は、更新がすぐにできない場合の回避策として、CGI版では「mt-upgrade.cgi」「mt-search.cgi」「mt-ftsearch.cgi」というファイルの削除または実行権限の削除、PSGI版（MT 6.2以降）では設定ファイルへの制限追加を案内しています。どちらも専門的な作業になるため、管理会社と相談して実施してください。これは、鍵のかかっていない裏口や検索窓口を、修理が終わるまでいったん板でふさいでしまうような応急処置にあたります。

よくある質問

自分のサイトは影響を受けますか？

Movable TypeまたはMovable Type Premiumを使っていて、修正版より古い版の場合に影響を受けるおそれがあります。使っているCMSの種類は、制作・管理会社に確認してください。

WordPressを使っていますが、対象ですか？

この脆弱性はMovable Type特有のものなので、WordPressには当てはまりません。心当たりがなければ、念のため確認しておくと安心です。

何をすればいいですか？

管理会社に使っているCMSと版を確認してもらい、対象であれば修正版への更新を依頼してください。すぐに更新できない場合は、開発元が案内する回避策も相談しましょう。

参考にした公開情報

この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。