何が起きたか
2026 年 10 月 7 日、Movable Type に重大な脆弱性 2 件が公表されました。
- CVE-2026-96408: 更新用のプログラム（mt-upgrade.cgi）から、ログインなしで外部からプログラムを実行される（CVSS 9.4）
- CVE-2026-103668: 検索用のプログラム（mt-search.cgi）での SQL インジェクション（CVSS 8.6）
非公開の記事などのデータを抜き出されるおそれもあります。IPA が注意喚起を出しています。
対象と修正版
- 対象: 9.2.1 以前など
- 修正版: 9.3.0 / 9.0.10 / 8.8.6 / 8.0.13（Premium は 9.3.0 / 9.0.10 / 2.18）
確認すること
- 修正版に更新する
- すぐに更新できない場合は、mt-upgrade.cgi・mt-search.cgi・mt-ftsearch.cgi を削除するか、実行できないようにする
出典
ご自身での確認が難しい場合
公開されている情報の範囲で状況を確認し、ご確認いただきたい点を 1 枚にまとめて無料でお送りします。