独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は10月7日、Movable Typeにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。GMO Flatt Security株式会社のRyotaK氏が報告を行っている。
影響を受けるシステムは以下の通り。

・Movable Type
9.2.1およびそれ以前（9.2系、クラウド版のみ）
9.0.9およびそれ以前（9.0系、Advanced 含む）
8.8.5およびそれ以前（8.8系、Advanced 含む）
8.0.12およびそれ以前（8.0系、Advanced 含む）

・Movable Type Premium
9.2.1およびそれ以前（9.2系、クラウド版のみ）
9.0.9およびそれ以前（9.0系、Advanced 含む）
2.17およびそれ以前（2系、Advanced 含む）
※サポートが終了した Movable Type 8.4系、7系およびそれ以前のバージョン、Movable Type Premium 1系も本脆弱性の影響を受ける

　シックス・アパート株式会社が提供するMovable Typeには、下記の影響を受ける可能性がある複数の脆弱性が存在する。

・アップグレードスクリプトにおけるコードインジェクション（CVE-2026-96408）
→システム上で任意のPerlコードやSQLクエリが実行される

・サイト内検索機能におけるSQLインジェクション（CVE-2026-103668）
→システム上でSQLクエリが実行される

　JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。なお、本脆弱性を修正した下記のバージョンがリリースされている。

・Movable Type（Advanced を含む）
9.3.0
9.0.10
8.8.6
8.0.13

・Movable Type Premium（Advanced を含む）
9.3.0
9.0.10
2.18

元の記事を読む

編集部おすすめ