Movable Typeの脆弱性（2026年10月）｜影響を受ける版・修正版と、すぐ更新できないときの対処【随時更新】

最終更新：10 月 23 日 10:43（日本時間） 続報が出たら追記します。
すぐ見る：影響を受ける版 ／ すぐ更新できないとき ／ サポートが終わった版

この記事では、開発元のシックス・アパート、IPA、JVN（JPCERT/CC と IPA が共同で運営する脆弱性情報のサイト）、レンタルサーバー各社の発表だけをもとに、自社の Movable Type で何を確かめ、何をすればよいかを整理します。

何が見つかったか

公式の発表で分かっていることです。JVN によると、2 つの脆弱性が見つかりました。1 つは更新用のプログラム mt-upgrade.cgi の問題（CVE-2026-96408）で、Perl のプログラムや SQL の命令を実行されるおそれがあり、深刻度は CVSS v3 で 9.4 です。もう 1 つはサイト内検索 mt-search.cgi の SQL インジェクション（CVE-2026-103668）で、非公開のデータを含む情報を出力されるおそれがあり、深刻度は 8.6 です。

2026 年 10 月 23 日の時点で、悪用を確認したという一次情報は見つかっていません（米国 CISA の「悪用が確認された脆弱性」の一覧にも載っていない）。シックス・アパートは、対策をしていない場合は攻撃を受ける可能性があるとして、早めの対応を呼びかけています。

影響を受ける版と修正版

自社の版は、Movable Type の管理画面の下のほうか、制作会社に確かめます。

すぐ更新できないとき

シックス・アパートは、すぐに更新できない場合の回避策を示しています。

• CGI で動かしている場合 mt-upgrade.cgi・mt-search.cgi・mt-ftsearch.cgi を削除するか、アクセスや実行ができないようにする（mt-ftsearch.cgi は 8 以降にはない）。サイト内検索を使っている場合は、検索が使えなくなる。
• PSGI で動かしている場合 設定（RestrictedPSGIApp など）で、更新と検索の機能を止める。設定の項目は版によって違うので、開発元の案内のとおりに行う。

エックスサーバーは、同社のサーバーにある mt-upgrade.cgi のパーミッションを同社側で 000（実行できない状態）に変えたと案内しています。ほかのサーバーでも、同じような対策を取ったところがあります。

サポートが終わった版を使っている場合

開発元の説明です。シックス・アパートによると、サポートが終わった 4.0〜4.38、5 系、6 系、7 系、8.4 系、Premium 1 系も影響を受けますが、修正版は出ません。回避策を当てたうえで、サポート中の版への移行を急ぐ必要があります。

長く更新していない MT のサイトは、版を上げると表示や機能が変わることがあります。移行するか、別の仕組みで作り直すかは、制作会社と相談して決めます。

MT の更新とあわせて、サーバーの PHP の版も確かめてください（PHP のバージョンの確かめ方）。ほかの最近の出来事は 「最近のサイバー攻撃と対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。

作り方は 3 つ｜完成済み・自作・オーダーメイド

作り方はどれでも選べます。優劣ではなく、向いているケースが違います。

• オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。

  オーダーメイド制作を相談する オーダーメイド制作との違い

• 自分で作る（自作） 費用は抑えられます。そのかわり、使っている仕組みの脆弱性の情報を追い、更新を公開後もずっと自分で続けることになります。
• 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。

  完成済みのサイトを実物で見る