【緊急】Movable Type CVE-2026-96408：認証なしでRCE・SQL実行（CVSS v4.0 9.3）— 9.3.0／9.0.10／8.8.6／8.0.13へ更新、できなければ mt-upgrade.cgi などを遮断

シックス・アパートのCMS「Movable Type」に、認証なしの攻撃者がリモートコード実行（RCE）や不正なSQLの実行をできるおそれのある脆弱性（CVE-2026-96408）が公表されました。あわせて、サイト内検索のSQLインジェクション（CVE-2026-103668）も修正されています。JVN（JPCERT/CCとIPAの脆弱性情報サイト）とシックス・アパートが2026年10月7日に公表し、修正版（9.3.0／9.0.10／8.8.6／8.0.13）が同日に出ています。

先に、分かっていることと分からないことを分けます。CVSSは v4.0 の 9.3（CRITICAL） で、これは JPCERT/CC が付けた値です（NVD〔NIST〕の解析は、10月12日の確認時点で「評価待ち（Awaiting Analysis）」です）。悪用については、シックス・アパートの告知とJVNに記述がありません。CISAのKEV（悪用が確認された脆弱性のカタログ）にも、10月12日に取得した版（更新日時は10月8日）には、2件とも載っていません。
ただし、CISAがNVDに付けた評価では、CVE-2026-96408 は「自動化できる（automatable: yes）」「技術的影響は全面的（total）」とされています（悪用状況は「なし」）。「悪用が確認されていない」は「安全」ではありません。認証なしで外部から届く欠陥なので、公開しているサーバーは早めに更新してください。

今すぐ行う対策

• ✓まず、自社で動かしている Movable Type の版を確認する。管理画面やサーバー上のファイルなどで版を確かめてください（確認方法は製品の案内を参照）。クラウド版を自動アップデートの初期設定のまま使っているなら、すでに更新されています。シックス・アパートは、自動アップデートを意図的に切っている場合は早めに更新するよう書いています
• ✓次の修正版へ更新する。Movable Type（Advanced を含む）は 9.3.0／9.0.10／8.8.6／8.0.13、Movable Type Premium（Advanced Edition を含む）は 9.3.0／9.0.10／2.18 です。自分が使っている系列の修正版へ上げてください（たとえば 8.8 系なら 8.8.6）
• ✓EOL（サポート終了）の版を使っているなら、同じ系列には修正版がありません。シックス・アパートは、4系・5系・6系・7系・8.4系と Premium 1系も影響を受けると書いています。修正版を出している系列へ移行するか、下の緩和策を入れて公開を止めることになります
• ✓すぐ更新できないなら、公式の緩和策を入れる。CGI環境では、mt-upgrade.cgi／mt-search.cgi／mt-ftsearch.cgi を削除するか、外部から実行できないようアクセスを遮断します。PSGI環境の設定は下の節にあります。なお、mt-search.cgi を止めると、サイト内検索は使えなくなります（当サイトの補足です）
• ✓アクセスログを調べる。公式の侵害の痕跡（IoC）は出ていません。mt-upgrade.cgi・mt-search.cgi・mt-ftsearch.cgi への見覚えのないリクエストが、10月7日以降に無いかを確認してください（当サイトの補足で、公式の手順ではありません）

影響を受ける版と修正版（シックス・アパートの告知とJVNより）

• ▸Movable Type（Advanced を含む）：9.2.1 以前（9.2系）、9.0.9 以前（9.0系）、8.8.5 以前（8.8系）、8.0.12 以前（8.0系）。修正版は 9.3.0／9.0.10／8.8.6／8.0.13
• ▸Movable Type Premium（Advanced Edition を含む）：9.2.1 以前（9.2系）、9.0.9 以前（9.0系）、2.17 以前（8.0系・8.8系ベース）。修正版は 9.3.0／9.0.10／2.18
• ▸サポートが終了した版も影響を受けます。Movable Type 4.0〜4.38、5.0〜5.2.13、6.0〜6.8.8、7 r.4207〜r.5510、8.4.0〜8.4.4、Movable Type Premium 1.0〜1.68 です。mt-search.cgi の問題は、4系では 4.3 以降が対象です
• ▸提供形態：9.3.0 と 8.8.6 はクラウド版・ソフトウェア版・AMI版、9.0.10 と 8.0.13 はソフトウェア版・AMI版です
• ▸8.0 系は、保守は終わっていて、セキュリティ面のサポート（EOL）は 2026年11月5日までと、Movable Type.org の告知に書かれています。8.0 系を使っているなら、移行の計画も必要です

更新できないときの緩和策（公式の案内）

シックス・アパートは、直ちに更新できない場合の緩和策を、環境ごとに示しています。どれも「脆弱なスクリプトに外から届かないようにする」考え方です。これは一時的な対策で、根本的な解決は更新だけとされています。

• ▸CGI環境（全バージョン共通）：mt-upgrade.cgi、mt-search.cgi、mt-ftsearch.cgi を削除するか、実行されないようにアクセスを制限する。Movable Type 8 以降は mt-ftsearch.cgi を提供していないので、ファイルが無い環境もあります
• ▸PSGI環境（Movable Type 6.2 以降、クラウド版）：mt-config.cgi に `RestrictedPSGIApp upgrade`、`RestrictedPSGIApp new_search`、`RestrictedPSGIApp ft_search` を設定する（`ft_search` は 6.2.4 以降）
• ▸PSGI環境（Movable Type 6.0／6.1）：環境変数 `UpgradeScript` と `SearchScript` に、予測できない十分に長い文字列を設定する
• ▸入れたあとに、これらのURLへ外から届かなくなったかを確かめてください（当サイトの補足です）

何が起きたか（日付つき）

• ▸2026年10月7日：シックス・アパートが Movable Type 9.3.0／9.0.10／8.8.6／8.0.13 と Premium 9.3.0／9.0.10／2.18 の提供を開始し、セキュリティ更新として告知しました。JVNも同日に公表しています（JVN#91153973）。報告者は GMO Flatt Security 株式会社の RyotaK 氏とされています
• ▸同日：CVE-2026-96408 と CVE-2026-103668 がCVEとして公開され、NVDにも載りました。CVSSは JPCERT/CC が付けています
• ▸10月12日（本記事の確認日）：NVDは両方とも「評価待ち」、CISAのKEVには未掲載（2026年10月8日版）です

2件の内容（シックス・アパートの告知より）

• ▸CVE-2026-96408（CVSS v4.0: 9.3 CRITICAL／v3.0: 9.4）：アップグレードスクリプト（mt-upgrade.cgi）のコードインジェクション。認証なしの攻撃者が、任意のPerlスクリプトやSQLを実行できるおそれ（RCEまたは不正なSQL）
• ▸CVE-2026-103668（CVSS v4.0: 8.8 HIGH／v3.0: 8.6）：サイト内検索（mt-search.cgi と mt-ftsearch.cgi）のSQLインジェクション。認証なしの攻撃者が不正なSQLを実行でき、非公開のデータを含むデータが出力されるおそれ
• ▸このほかにも複数のセキュリティ上の問題が修正されています。内容は各バージョンのリリースノートに書かれています（この記事では、公表された2件だけを扱います）

悪用について、分かっていることと分からないこと

分かっていること。シックス・アパートの告知とJVNは、影響・修正版・緩和策を示しています。悪用を確認したとは、どちらにも書かれていません。CISAのKEVには、10月12日に取得した版では載っていません。NVDに載っているCISAの評価（SSVC）は、CVE-2026-96408 が「悪用状況：なし、自動化：できる、技術的影響：全面的」、CVE-2026-103668 が「悪用状況：なし、自動化：できる、技術的影響：一部」で、いずれも10月7日の評価です。

分からないこと。悪用の有無は、公表から5日たった今も、公式資料から確認できません。攻撃コードが出回っているかどうかも、確認できる資料がありません。公開から日が浅く、第三者の検証も見つかっていません。悪用の記述が無いことを、安全の根拠にしないでください。

確認できなかったこと

• ▸攻撃が成立する条件の詳細。認証が不要なこと（未認証の攻撃者）は公式資料にありますが、どの設定の環境で届くか（たとえば mt-upgrade.cgi が外部から到達できる配置か）は、告知に書かれていません。自分の環境で到達できるかは、上の緩和策の確認で調べてください
• ▸NVDの評価。10月12日の確認時点で、NVDは両方とも「評価待ち」です。この記事の 9.3（v4.0・CRITICAL）は、JPCERT/CC が付けた値で、NIST の評価が付くと数字が変わることがあります
• ▸侵害の痕跡（IoC）。公式の資料に、検知用のファイル名やログの形は出ていません
• ▸「その他の複数の脆弱性」の内容。シックス・アパートは各リリースノートを参照するよう書いています。この記事では確認していません
• ▸EOL版の具体的な対処。修正版は提供されていない系列があります。公式は「修正版へ更新するか、緩和策を」としか書いていません

共有するならこの3行

• ▸Movable Type に、認証なしでRCEや不正なSQL実行につながる脆弱性（CVE-2026-96408・CVSS v4.0 9.3）が10月7日に公表された。サイト内検索のSQLインジェクション（CVE-2026-103668）も同時に修正
• ▸★自社で動かしているなら、9.3.0／9.0.10／8.8.6／8.0.13（Premium は 9.3.0／9.0.10／2.18）へ更新する。更新できなければ、mt-upgrade.cgi・mt-search.cgi・mt-ftsearch.cgi を削除またはアクセス遮断（PSGIは設定がある）。サポート終了の版も対象
• ▸悪用の確認は、公式の資料に書かれていないが、「安全」ではない。KEVにも載っていない。クラウド版の自動アップデートが有効なら更新済み

根拠にしたページ