Movable Type脆弱性の対応｜修正版への更新と回避策

2026年10月7日、IPAとJPCERT/CCは、ホームページ作成ソフト「Movable Type（ムーバブル・タイプ）」の脆弱性（JVN#91153973）を公表しました。もっとも深刻なものは深刻度9.4（緊急）で、ログインしていない人に、サーバー上でプログラムを動かされるおそれがあります。

さらに11月5日には、Movable Type 8.0系のセキュリティサポートが終わりました。この記事では、Movable Typeでホームページを運営している会社に向けて、版の確かめ方、更新の手順、すぐに更新できないときの回避策、攻撃の形跡の調べ方を説明します。制作会社に任せたままのサイトも対象です。

どんな脆弱性？ なぜ危ないの？

今回の修正の中心は、次の2つです。どちらも、ログインせずに、インターネットから攻撃できると評価されています。

このほかにも、複数のセキュリティ上の問題が直っています。報告したのは、GMO Flatt Security社のRyotaK氏です。

対象の版と、移る先

まず、自社のサイトがどの系統かを確かめましょう。

※クラウド版は、自動アップデートが初期設定で有効になっており、無効にしていない環境ではすでに更新が終わっています。無効にしている場合は、早めに更新しましょう。

※ソフトウェア版で最新版を使うには、年間メンテナンスの契約が続いている必要があります。期限が切れている場合は、シックス・アパート社の案内を確認しましょう。

これまでの流れ

• 2026年4月8日
  JVN#66473735を公表。管理画面やData APIの弱いところで、深刻度9.8（緊急）。修正版は9.0.7、8.8.3、8.0.10など
• 2026年10月7日
  JVN#91153973を公表。9.3.0、9.0.10、8.8.6、8.0.13を公開
• 2026年10月26日
  9.3.0・9.0.10で見つかった問題を直した9.3.1、9.0.11を公開
• 2026年11月5日
  8.0系のセキュリティサポートが終了

確かめて、対応する6ステップ

1. だれがサイトを管理しているか確認する

   社内の担当者か、制作会社か、保守会社かを確かめます。わからないときは、サーバーの契約書や、制作時のメールを探しましょう。

2. 版を確認する

   管理画面にログインすると、画面の下のほうなどに版が表示されます。見つからない場合は、管理している会社に聞きましょう。

3. バックアップをとる

   更新の前に、サイトのファイルとデータベースの両方を保存します。

4. 修正版に更新する

   シックス・アパート社は、上書きではなく別の場所に新しい版を入れて切り替える方法を強くすすめています。更新のあと、主なページ、お問い合わせフォーム、サイト内検索が動くか確かめましょう。

5. すぐに更新できなければ、回避策をとる

   下の「更新できないときの回避策」を行います。修正版がない古い版も同じです。

6. 攻撃を受けた形跡がないか調べる

   下の確認項目を見ます。あやしい点があれば、管理者のパスワードを変え、専門の会社に相談してください。

更新できないときの回避策

シックス・アパート社は、すぐに更新できない場合の一時的な対策として、次の方法を案内しています。根本的に直すには、更新が必要です。

• CGIで動かしている場合（すべての版）：mt-upgrade.cgi、mt-search.cgi、mt-ftsearch.cgi を削除するか、外から実行できないようにアクセスを制限する
• PSGIで動かしている場合（6.2以降、クラウド版）：mt-config.cgi の RestrictedPSGIApp に upgrade、new_search、ft_search を設定する（ft_search は6.2.4以降）
• PSGIで動かしている場合（6.0・6.1）：UpgradeScript と SearchScript に、予測できない十分に長い文字列を設定する

※検索のプログラムを止めると、サイト内検索が使えなくなります。アップグレード用のプログラムは、次に更新するときに戻します。

※4月の脆弱性の修正版（9.0.7、8.8.3、8.0.10など）より古い版では、そのとき案内された回避策（mt-data-api.cgi の削除など）もとりましょう。この回避策で防げるのはData APIを経由する攻撃だけなので、更新が必要なことに変わりはありません。

攻撃を受けた形跡の調べ方

JVNとシックス・アパート社から、攻撃元のIPアドレスなどの決定的な目印は公表されていません。次の項目を確かめます。

• アクセスログに、自社で更新していない時期の mt-upgrade.cgi へのアクセスが残っていないか
• mt-search.cgi へのアクセスに、検索語として不自然に長い文字列や記号が入っていないか
• 覚えのない管理者アカウントや、権限が変わったアカウントがないか
• テンプレートや公開ファイルに、見覚えのない変更やファイルがないか

ログにアクセスがあったからといって、侵入されたとは限りません。ひとつの手がかりとして、ほかの項目とあわせて判断しましょう。

古い版（8.4系や7系）を使っている場合

サポートが終わった版には修正版が出ないため、回避策は一時的なしのぎにしかなりません。選べる道は、おもに次の2つです。

• Movable Typeの新しい版へ上げる：ライセンスと年間メンテナンスを確認し、8.8系か9系へ移ります。プラグインやテンプレートが新しい版で動くかの確認が必要です。
• ほかの仕組みへ移る：サイトの規模や更新のしかたによっては、作り直したほうが長い目で見て安く済むこともあります。

どちらがよいかは、サーバーの状態やプラグインの数によって変わります。サーバーの土台も古い場合は「古いシステムの脆弱性対策」も、制作会社と連絡がとれない場合は「システム保守の引き継ぎ」もあわせてご覧ください。WordPressのサイトもお持ちなら「WordPress脆弱性の対応」も参考になります。

制作会社に任せている場合

ホームページを制作会社に任せていても、サイトの持ち主は自社です。次のことを聞いておくと安心です。

• うちのMovable Typeは今どの版ですか？ JVN#91153973の修正版になっていますか？
• 4月のJVN#66473735の対応も済んでいますか？
• 年間メンテナンスの契約は続いていますか？ だれの名義ですか？
• 使っているプラグインに、開発が止まったものはありませんか？
• 管理画面とサーバーのログイン情報を、うちでも受け取れますか？

放っておくと？ 対応すると？

Digi Dinosにおまかせください

Digi Dinos（デジダイノス）は、DX、セキュリティ、システムの運用・保守を支援する会社です。日本とベトナムに拠点をもち、創業から8年、150件以上のプロジェクトを手がけてきました。日本語ができるチームが対応します。

• Movable Typeの更新・点検：版の確認、バックアップ、回避策、更新作業、形跡の確認まで対応します。
• 古いサイトの保守を引き継ぎ：更新が止まったサイトや、ほかの会社が作ったサイトも引き継げます。
• 新しい仕組みへの移行：古い版から上げるか、作り直すかを調べ、費用と期間をまとめてご提案します。
• 資料がなくても大丈夫：作った会社がいない、仕様がだれにもわからないシステムでも、プログラムを読んで調べ、資料を作り直し、計画をまとめてご提案します。
• 永久保証：私たちが手を入れた部分に不具合が見つかったら、責任をもって直します。保守契約を続けていただいている間は、期限を区切らずに保証します。

よくある質問