Movable Type(ムーバブルタイプ)の脆弱性は、サポートが終了した旧バージョンも対象です。2026年10月7日の告知では、管理用プログラムやサイト内検索を通じて不正な処理が実行される問題が示されており、古い会社サイトも製品名と版の確認から始める必要があります。
保守会社へ連絡する際は、「対応をお願いします」だけで終わらせず、対象判定・当面の対策・更新後の確認結果をセットで求めると話が進みます。
クラウド版には10月9日の追加告知もあるため、利用形態ごとの対応を分けて判断しましょう。
要点先に揃えるのは製品名・バージョン・運用担当
自社が使うのがMovable Type、Movable Type Premium、MovableType.netのどれかを確認し、保守担当者へ現行バージョンと更新結果を照会します。対象版なら、更新が終わるまでの緩和策もあわせて相談してください。
以下の対象版と修正版は2026年10月7日の公式告知を基準としており、情報確認日は2026年10月15日です。
Movable Typeの脆弱性で最初に確認すること
Movable Typeの今回の脆弱性で確かめるのは、公開ページの見た目よりも、裏側で動くCMSの製品とバージョンです。CMSは記事やページを管理する仕組みで、公開ページがいつもどおり表示されていても、その管理用プログラムの安全性までは分かりません。
10月7日に公表された問題は管理用プログラムとサイト内検索
今回の主な識別番号はCVE-2026-96408とCVE-2026-103668で、CVEは脆弱性を区別するための共通番号です。
前者はアップグレード用の「mt-upgrade.cgi」で任意のPerlコードやSQLが実行される問題、後者は「mt-search.cgi」の検索処理で不正なSQLが実行される問題を指します。
SQLはデータベースへの命令であり、公式告知ではサイト内検索を通じて非公開データを含む情報が出力されるおそれも示されています。そのため、担当者にはサイトの表示確認に加え、対象プログラムが外部から利用できる状態かを調べてもらう必要があります。
出典:JVN#91153973「Movable Typeにおける複数の脆弱性」(2026年10月7日) / シックス・アパート「Movable Typeをご利用の方へ、脆弱性対策実施のお願い」(2026年10月7日)
静的なHTMLページを配信している場合も、CMSや検索の処理がサーバーに残っているなら確認対象になります。静的サイトという理由だけで対象外と判断しないようにし、一般的な備えはホームページのセキュリティ対策とあわせて点検すると、今回の更新以外の管理漏れも整理できます。
Movable Typeの脆弱性が影響する製品と旧バージョン
Movable Typeの脆弱性の対象は通常版だけでなく、AdvancedやPremiumを含む製品群に及びます。製品名が似ていても版の番号体系は異なるため、保守会社から受け取った正式な製品名とバージョン全体を、次の表と照らし合わせてください。
通常版とPremiumは別々の表で照合する
まず、Movable TypeとMovable Type Advancedの対象版と今回の修正版は次のとおりです。9.2系の対象はクラウド版で、9.2.1からの修正版として9.3.0が案内されています。
| 系統 | 対象版(以下) | 今回の修正版 |
|---|---|---|
| 9.2系 | 9.2.1 | 9.3.0 |
| 9.0系 | 9.0.9 | 9.0.10 |
| 8.8系 | 8.8.5 | 8.8.6 |
| 8.0系 | 8.0.12 | 8.0.13 |
一方、Movable Type PremiumとMovable Type Premium Advanced Editionでは、次の番号で確認します。Premiumの2.18にはMovable Type 8.8.6ベースと8.0.13ベースがあるため、番号だけでなく基盤も記録しておくと照合が確実です。
| 系統 | 対象版(以下) | 今回の修正版 |
|---|---|---|
| 9.2系 | 9.2.1 | 9.3.0 |
| 9.0系 | 9.0.9 | 9.0.10 |
| 2系 | 2.17 | 2.18 |
この表のPremium9.2系も対象はクラウド版で、掲載した修正版は今回の脆弱性を修正した版を示すため、更新作業を行う時点では、その後の修正も含めて適用先を保守会社に確認します。
サポート終了版も対象に含まれる
旧バージョンについては、公式が次の範囲も対象に挙げています。「古いから今回の告知とは関係ない」という判断はできませんので、契約書に古い製品名しかない場合も、実際の設置環境を調べてもらいましょう。
| 製品・系列 | 公式が挙げる旧版 |
|---|---|
| MT4系 | 4.0〜4.38 |
| MT5系 | 5.0〜5.2.13 |
| MT6系 | 6.0〜6.8.8 |
| MT7系 | r.4207〜r.5510 |
| MT8.4系 | 8.4.0〜8.4.4 |
| Premium1系 | 1.0〜1.68 |
ただし、表のMT4系ではサイト内検索の問題は4.3以降が対象で、MT6系は6.0と6.0.1から6.8.8までを含む案内です。
このように同じ系列でも例外があるため、表の範囲だけを見て個別の機能差を省かないようにします。
補足MovableType.netは今回の対象外
シックス・アパートはMovableType.netには今回の脆弱性の影響がないと明記しています。契約名に「Movable」が含まれていることだけで同じ対応を進めず、最初に製品を区別しましょう。
出典:シックス・アパート「Movable Typeをご利用の方へ、脆弱性対策実施のお願い」(2026年10月7日)
Movable Typeの脆弱性への対応は利用形態で分ける
Movable Typeの更新を誰が実施するかは、自社や保守会社が設置した版か、公式クラウド版かで変わります。レンタルサーバー上に設置したソフトウェア版を、名称の印象だけで「クラウドだから自動更新される」と扱わないことが先決です。
ソフトウェア・AMI版
設置環境の管理者に更新の実施と完了報告を依頼する
公式クラウド版
提供元の追加告知と自社環境の更新結果を確認する
サポート終了版
当面の緩和策と対応版への移行計画を並行して決める
ソフトウェア版・AMI版は更新の担当者を確定する
ソフトウェア版やAMI版では、保守会社やサーバー管理者へ現行版・更新先・実施予定・復旧方法を照会します。
保守契約があっても更新作業や調査がどこまで含まれるかは契約によるため、ホームページ保守の契約範囲を確認し、作業担当と承認する人を決めてください。
旧版を長く使っている環境では、プラグインやサーバー側の条件も更新判断に関わります。その確認に時間がかかる場合は、更新の調査と当面の緩和策を並行して依頼し、移行先が決まるまで何も変えない状態を避けましょう。
クラウド版は10月9日の追加告知まで確認する
公式クラウド版については、10月7日の告知時点で自動更新が有効な環境の更新が案内され、その後の10月9日には自動更新をオフにしていた全環境にも強制更新を実施したと発表されています。
したがって、現在の判断では10月9日の追加告知と自社環境の更新結果を照合します。
この追加対応は公式クラウド版についての説明であり、ソフトウェア版やAMI版まで自動で更新されたという意味ではありません。自社がどちらか不明なら、契約先にサービス名と現行版の回答を求めるところから進めてください。
出典:シックス・アパート「最新バージョンへのアップデートのお願いと、クラウド版における全環境のアップデート実施について」(2026年10月9日)
注意更新結果と過去の被害確認は分ける
クラウド版の更新が完了していても、それだけで更新前の不正アクセスや改ざんがなかったと証明できるわけではありません。不審な表示や変更がある場合は、保守担当者へ調査も依頼します。
Movable Typeをすぐ更新できないときの緩和策
Movable Typeを直ちに更新できない場合、公式は対象のプログラムを外部から実行できないようにする緩和策を案内しています。緩和策は当面の影響を抑える対応なので、更新先の検証や移行計画も続ける必要があります。
CGI環境とPSGI環境で止め方が異なる
CGIとPSGIはサーバー上でプログラムを動かす方式で、同じファイル名が見えていても停止方法を一律に扱えません。
保守会社には自社がCGIかPSGIかを先に特定してもらい、該当する公式手順で対処を依頼します。
CGI環境
PSGI環境
CGI環境では「mt-upgrade.cgi」「mt-search.cgi」「mt-ftsearch.cgi」の削除、または実行されないようにするアクセス制限が案内されています。mt-ftsearch.cgiはMovable Type 8以降では提供されていませんが、旧版からの移行環境では残存の有無も確認します。
PSGI環境のMovable Type 6.2以降では、環境変数RestrictedPSGIAppで「upgrade」「new_search」「ft_search」を制限する案内です。ft_searchは6.2.4以降が対象で、6.0・6.1には別の案内があるため、CGIファイルを消しただけでPSGIの対策も終わったと判断しないようにしてください。
検索や更新の機能に与える影響も担当者と確認する
検索用プログラムを止めると、その処理を使うサイト内検索に影響するため、遮断する対象・止まる機能・再開の条件を一緒に記録します。
サイト全体を止める必要があるかも構成によるので、担当者には公開ページとCMS、検索のそれぞれについて作業範囲を明らかにしてもらいましょう。
警告実行方式が分からない状態でファイルを消さない
更新・検索に使うファイルを不用意に削除すると運用に支障が出るため、保守担当者が利用状況と復旧方法を確かめてから対応します。緩和策を行った日と、恒久的な更新を行う予定も残してください。
Movable Typeの脆弱性対応を保守会社へ依頼する内容
Movable Typeの脆弱性対応を依頼するときは、「対象か」「何を止めたか」「何へ更新したか」「どう確認したか」の回答を受け取れるようにします。技術的な作業を自社で行わなくても、この確認項目を揃えれば、更新待ちなのか調査待ちなのかを社内で把握できます。
依頼前に用意する情報と、担当者に調べてもらう情報
- 自社で用意する:対象サイトのURL、管理・保守の契約先、直近の更新報告
- 保守会社へ照会する:正式な製品名、提供形態、現在のバージョン、CGI/PSGIの区分
- 対策について求める:対象判定の根拠、緩和策の実施内容、更新先と実施予定
- 完了時に受け取る:作業日時、更新後の版、停止した機能の扱い、動作確認結果
- 異常がある場合に加える:ログや変更履歴の保存状況、調査範囲、次の報告予定
分からない項目を埋めるために、サーバーを自己判断で操作する必要はありません。分かっている情報と照会したい情報を分けて送付し、パスワードなどの認証情報は通常のメール本文へ書かず、契約先と決めた方法で受け渡してください。
保守会社へ送る依頼文の例
依頼文Movable Typeの脆弱性への対応状況確認
当社サイトで利用しているMovable Typeについて、2026年10月7日公表のCVE-2026-96408、CVE-2026-103668への対応状況をご確認願います。
まず、製品名・提供形態・現在のバージョン・今回の脆弱性の対象かどうかをご回答ください。対象の場合は、実施済みの対策、更新先、今後の作業予定をお知らせください。
直ちに更新できない場合は、環境に合う緩和策と、検索などの利用機能への影響をご提案ください。作業後は、更新後のバージョン、作業日時、動作確認結果のご報告をお願いします。
不審なファイルや変更が見つかった場合は、現状とログを保存したうえで、調査範囲と次の報告予定もお知らせください。
この文面には、実際に把握しているサイトURLと契約情報を添えて送ります。更新担当が不明なまま複数社へ連絡すると作業が重なるため、窓口を1人決め、誰が調査し誰が変更を実施するかを返信で確定させてください。
「対応済み」の報告はバージョンと確認結果で受け取る
完了報告では、更新後のバージョンと作業日時に加え、記事編集・公開・再構築・サイト内検索など、利用している機能の確認結果を受け取ります。緩和策で止めた機能がある場合は、再開済みか、停止を続けるのかも記録しておきましょう。
ソフトウェア版の更新について公式は、データベースのバックアップと別ディレクトリへの設置を推奨しています。
保守会社にはバックアップの対象と取得時点、問題が出た際の復旧方法を確認し、ファイルを上書きしたという報告だけで完了扱いにしないことが大切です。
出典:Movable Type公式マニュアル「旧バージョンからMovable Type 9へアップグレードする」
以前の制作会社と連絡が取れない場合は、サーバーやライセンスの契約情報、分かる範囲の更新履歴を整理して相談先へ渡します。契約と管理権限の引き継ぎはホームページ管理会社を変更する手順でも確認できますが、緊急の対策と会社変更の検討は並行して進めてください。
Movable Typeの改ざんが疑われるときの確認
Movable Typeの改ざんが疑われる場合は、更新作業と、すでに起きた変更の調査を分けて保守担当者へ依頼します。更新は今回の脆弱性への対策であり、過去に書き換えられたファイルや設定まで自動的に元へ戻す処理ではありません。
不審な表示や変更を見つけたら現状とログを保存する
自社で把握した発見日時・ページURL・表示内容を記録し、サーバー担当者にはアクセスログやエラーログ、ファイルの更新状況を保存してもらいます。
不審なファイルがあっても、開いて動作を試したり、記録せず削除したりしないようにし、調査する担当者へ引き継いでください。
更新後の機能を確かめる
影響範囲と復旧方法を判断する
この記録を残したうえで、公開の継続や一時停止、アクセス制限の範囲は保守会社とサーバー管理者に判断してもらいます。見た目の異常がない場合も被害の不存在を証明するものではないため、対象版を使っていた期間や、確認できるログの範囲も報告に含めてもらいましょう。
回避古いバックアップへの復元だけで終わらせない
古い版をそのまま復元すると、今回の脆弱性が残る構成へ戻ることがあります。復旧が必要な場合も、復旧先の修正状況と、再び外部から利用できるようにする条件を担当者と決めてから再開します。
連絡や判断が特定の担当者だけに集中しているなら、緊急時の窓口と承認する人を社内に残しておくと、次の告知でも対応を始めやすくなります。Web担当者がいない会社の運用体制も参考に、保守会社からの報告を誰が受け取り、どこへ記録するかまで決めてください。
よくある質問
Q古いMovable Typeも今回の脆弱性の対象ですか？
A古いMovable Typeも今回の脆弱性の対象で、公式は4系・5系・6系・7系・8.4系とPremium1系の対象範囲を示しています。4系のサイト内検索の問題は4.3以降が対象なので、製品と版を公式表に照合してください。
Q静的なHTMLサイトなら対応は不要ですか？
A静的なHTMLを配信するサイトでも、Movable TypeのCMSや検索処理が動作する環境は確認が必要です。公開ページの見た目だけで判断せず、保守会社へ設置状況と対象版の利用有無を照会します。
QMovableType.netも今回の対象ですか？
AMovableType.netは、2026年10月7日のシックス・アパート公式告知で今回の脆弱性の影響がないとされています。Movable TypeやMovable Type Premiumとは区別して製品名を確認してください。
Q公式クラウド版も自社で更新する必要がありますか？
A公式クラウド版は、2026年10月9日に自動更新がオフの全環境も強制更新したと発表されています。自社がその公式クラウド版かを確認し、実際の更新結果を照合してください。
QMovable Typeをすぐ更新できない場合はどうしますか？
AMovable Typeをすぐ更新できない場合は、公式が案内する緩和策を保守会社へ依頼します。CGIとPSGIで方法が異なるため、実行方式・停止する機能・更新予定を一緒に確認してください。
Q更新が終われば改ざんの確認も完了ですか？
AMovable Typeの更新が終わっても、更新前に改ざんがなかったことまで証明できません。不審な変更がある場合は、現状とログの保存、影響範囲の調査を別途依頼します。
Q保守会社には最初に何を送ればよいですか？
A保守会社には、対象サイトのURL、分かる範囲の契約・製品情報、今回のCVE番号を送ります。対象判定、緩和策、更新後の版と動作確認結果の回答を求め、認証情報は別途決めた方法で共有してください。
製品・更新結果・調査の担当を記録に残す
今回の告知を受けたら、まず自社の製品名・バージョン・利用形態を保守会社へ確認し、対象版なら更新と当面の緩和策を依頼します。返答では更新後の版と作業日時、利用機能の確認結果を受け取り、不審な変更がある場合は調査の状況も別に記録してください。
確認社内に残す記録を揃える
何を使っていたか、何を対策したか、いつ誰が確認したかを揃えると、「対応中」と「完了」の区別がつきます。サポート終了版の場合は、当面の対策とあわせて対応版への移行予定を残しましょう。
管理情報が分散していて保守会社へ何を頼むか整理できない場合は、分かる範囲の契約情報と対象URLを用意して、ノーサイドへご相談ください。現状の確認と保守の依頼範囲から整理することで、誰にどの回答を求めるかを明確にできます。