Movable Type全体に深刻な脆弱性が見つかる
汎用CMSツール
本脆弱性を悪用された場合、アップグレードスクリプトにおいてリモート実行や不正なSQLが実行されたり、サイト内検索において不正なSQL実行・
修正対応（2026年10月7日）
シックス・
- アップグレードスクリプト
（mt-upgrade. cgi） において、リモートコード実行 （RCE） や不正な SQL が実行されるおそれがある問題を修正 （CVE-2026-96408） - サイト内検索
（mt-search. cgi） において、不正な SQL が実行され非公開データを含むデータが出力されるおそれがある問題を修正 （CVE-2026-103668）
脆弱性の影響を受ける製品・バージョンおよび対策方法
脆弱性の影響を受ける製品・バージョンは以下のとおり。
Movable Type / Movable Type Advanced
- 9.
2.1 およびそれ以前 （9. 2系） - 9.
0.9 およびそれ以前 （9. 0系） - 8.
8.5 およびそれ以前 （8. 8系） - 8.
0.12 およびそれ以前 （8. 0系）
Movable Type Premium / Movable Type Premium Advanced Edition
- 9.
2.1 およびそれ以前 （9. 2系） - 9.
0.9 およびそれ以前 （9. 0系） - 2.
17 およびそれ以前 （8. 0系 / 8. 8系）
EOLバージョン：Movable Type / Movable Type Advanced
すでににEOL
- 4.
0 から 4. 38 （4系すべて、ただし mt-search. cgi に関する問題に関しては4. 3以降） - 5.
0 から 5. 2.13 （5系すべて） - 6.
0 および 6. 0.1 から 6. 8.8 （6系すべて） - 7 r.
4207 から r. 5510 （7系すべて） - 8.
4.0 から 8. 4.4 （8. 4系すべて） - 5.
EOLバージョン：Movable Type Premium / Movable Type Premium Advanced Edition
- Movable Type Premium 1.
0 から 1. 68 （MTP 1系すべて）
なお、MovableType.
- Movable Type
（9. 1.1クラウド版、9. 0.7、8. 8.3、8. 0.10） - Movable Type Premium
（9. 1.1クラウド版、9. 0.7、2. 15）
対策方法および回避策
本脆弱性の影響を受ける製品を利用している場合、速やかにMovable Typeの最新版へのアップデートをする必要がある。
また、クラウド版で自動アップデートを無効にしているユーザは、早めのアップデートが推奨される。
アップデートについては以下記事を参照のこと。
なお、直ちにアップデートを行なうことが難しい場合には、以下のような緩和策の実行が推奨される。
- CGI環境
（各バージョン共通）：mt-upgrade. cgi、mt-search. cgi、mt-ftsearch. cgiを削除する、もしくは、実行されないようにアクセス制限を行う - PSGI環境
（Movable Type 6. 2 以降、クラウド版）：Movable Typeの環境変数RestrictedPSGIAppにupgrade、new_ search、ft_ searchを設定する （ft_ search は 6. 2.4 以降） - PSGI環境
（Movable Type 6. 0 / 6. 1）：UpgradeScriptとSearchScriptに予測できない十分に長い文字列を設定する