2026年11月11日、Webサイトの制作・運用に使われるCMS「Movable Type」に、外部から細工されたリクエストを送られるとサーバー上で任意のPHPコードが実行されるおそれがある脆弱性が公表されました。識別番号はCVE-2026-117687（JVN#11786640）です。
Movable TypeでWebサイトを管理している方は、利用中のバージョンと「ダイナミックパブリッシング」の設定を確認し、修正版への更新を優先してください。 Movable Type 9は今回の脆弱性の対象外です。
今回の公表は「攻撃が発生した」「個人情報が流出した」という被害報告ではありません。2026年11月12日の確認時点で、公式発表に実際の悪用・国内被害を確認したとの記載はありません。以下では、対象の見分け方、更新手順、更新できない場合の対策、IT管理者が確認したい点を整理します。
自分のMovable Typeは対象？ 影響バージョンと修正版
| 利用している製品・系列 | 影響を受けるバージョン | 今回の修正版 |
|---|---|---|
| Movable Type 8.8.x（Advanced含む） | 8.8.6以前 | 8.8.7 |
| Movable Type 8.0.x（Advanced含む） | 8.0.13以前 | 8.0.14 |
| Movable Type Premium 2.x（Advanced Edition含む） | 2.18以前 | 2.19 |
| Movable Type 8.4.x／7.x（サポート終了） | 影響あり | サポート対象製品への移行を検討 |
| Movable Type 9 | 今回の脆弱性は対象外 | 今回のCVEに関する更新は不要 |
これはJVNと開発元の公表に基づく一覧です。2026年10月の別の脆弱性に対処して8.8.6または8.0.13へ更新したサイトも、今回の修正対象です。8.0系列は2026年11月5日にサポートが終了していますが、開発元は今回8.0.14を例外的に提供しています。長期運用ではサポート中の系列への移行が必要です。
PHPコードが実行される脆弱性とは？ サイト改ざんや情報漏えいの危険は
問題があるのは、Movable Typeのダイナミックパブリッシング（動的公開）機能です。これは、訪問者のアクセスに応じてサーバー側でテンプレートを処理し、ページを生成する仕組みです。あらかじめHTMLファイルを出力するスタティックパブリッシング（静的公開）とは処理のタイミングが異なります。
| 公開方法 | ページの作られ方 | 今回の脆弱性との関係 |
|---|---|---|
| スタティック（静的） | 更新時などにHTMLを生成して公開 | JVNが指摘する動的公開の処理経路とは異なる |
| ダイナミック（動的） | 閲覧リクエスト時にテンプレートを処理して出力 | 問題のある処理経路に該当 |
今回の脆弱性はコードインジェクション（CWE-94）です。公式情報では、ダイナミックパブリッシングが細工されたリクエストを処理すると、テンプレート処理の過程で意図しないPHPコードが実行される可能性があるとされています。CVSS v3.0の評価は7.3、v4.0では6.9です（採点方式が異なります）。
公開されたCVSSの条件では、ネットワーク越しに到達可能（AV:N）、攻撃に事前の権限を必要とせず（PR:N）、管理者などの操作も必要としない（UI:N）と評価されています。管理画面のパスワードを知らない第三者が攻撃を試みる可能性があるため、単に管理画面へのログインを制限するだけでは十分とはいえません。
PHPコードがサーバー上で実行されれば、Webサイトの改ざん、サーバー上の情報へのアクセス、不正な処理の実行などにつながる可能性があります。ただし、これは一般的に考えられる影響であり、今回のCVEによって実際に改ざん・漏えいが起きたと確認されたわけではありません。実行時の権限やサーバー構成によって影響は変わります。
管理者が今すぐ確認すること：5つのチェック
- ① 製品とバージョン：Movable Type／Advanced／Premiumの別と、導入バージョンを管理画面・保守台帳などで照合する。サーバーに複数インストールされていないかも確認する。
- ② 動的公開の使用：テンプレートの編集画面で公開方法が「ダイナミック」になっているか、アーカイブマッピングや公開プロファイルで動的公開を選んでいないか確認する。
- ③ 設定ファイル：
mt-config.cgiなどでDynamicTemplateAllowPHPの指定値を確認する。設定の意味が不明なら、変更前に制作会社・保守担当へ確認する。 - ④ 修正版の適用：現行系列の修正版を入手し、事前バックアップと検証を行ってから更新する。サポート終了版は移行を計画する。
- ⑤ 更新後の確認：トップページ、記事、検索、アーカイブ、404エラー画面、PHPを利用するテンプレートや外部連携を点検する。
ダイナミックパブリッシングはテンプレート単位で設定でき、静的公開と混在するサイトもあります。一部のページだけ静的公開だからといって、サイト全体の確認を省略しないでください。設定確認はMovable Type 8の公式マニュアルを参照できます。
更新方法と注意点：8.8.7／8.0.14／Premium 2.19
ソフトウェア版：バックアップ後に別ディレクトリへ導入
開発元はソフトウェア版の更新前にデータベースのバックアップを必ず取得し、旧環境にそのまま上書きするのではなく、別ディレクトリへインストールする更新方法を強く推奨しています。運用環境のテンプレート、プラグイン、画像・アップロードファイル、設定ファイルも移行・復旧の観点から確認しておきましょう。詳細は開発元の更新案内に従ってください。
クラウド版：開発元が更新完了を案内
Movable Type 8クラウド版（Premiumを含む）について、シックス・アパートは対象となるすべての環境でアップデートを完了したと案内しています。自動更新を無効にしていた環境にもメンテナンスが実施されています。ソフトウェア版やAMI版を自社管理している場合とは扱いが違うため、契約形態を確認してください。
AMI版：利用中の構成に応じて更新
Movable Type AMI版も修正対象ですが、AWS Marketplaceへの反映と既存インスタンスへの適用は同じ作業ではありません。開発元の案内からAMI版の手順を確認し、既存環境での適用を行ってください。
すぐ更新できない場合：DynamicTemplateAllowPHP 0の設定
JVNでは、デザインテンプレートに記載されたPHPコードの実行を抑えるため、環境変数DynamicTemplateAllowPHPを0にすることが推奨されています。通常はmt-config.cgiの設定として次のように記述します。
DynamicTemplateAllowPHP 0ただし、これは修正版への更新に代わる完全な対策と断定できません。設定変更によって既存のPHPを使うテンプレートが動かなくなる場合があるため、バックアップと表示・動作確認を行ってください。設定ファイルがどこにあるか不明な場合は、保守担当者に依頼してください。
修正版にはMTInclude、MTIncludeBlock、MTWidgetSet、MTWidgetManager、MTFileTemplate、mtevalなど、複数のテンプレート処理とエラー表示処理でPHPを実行させない変更が含まれます。一方、開発元はSSIの指定など一定の条件ではPHPが引き続き実行される例外を説明しており、更新後の互換性チェックも必要です。
改ざんされたかどうかを調べるには？
更新は今後の悪用を防ぐために重要ですが、過去に不審なアクセスがなかったことを証明するものではありません。管理者は必要に応じて、更新前後のWebサーバーアクセスログ、PHPエラーログ、公開ディレクトリのファイル更新履歴、管理者アカウントの利用履歴、想定外のファイル配置などを確認してください。
現時点のJVN・開発元資料には、この脆弱性に固有の攻撃元IPアドレスや不正リクエストのパターン（IOC）は示されていません。特定のURLへのアクセスだけを根拠に「攻撃成功」と判定せず、異常を見つけたら保守会社やセキュリティ担当とログを保全して調査することをおすすめします。
よくある質問
Q. Movable Typeを使っているだけで情報漏えいしたのですか？
いいえ。今回の公表は脆弱性情報です。実際に情報が盗まれた、サイトが改ざんされたという事実は、確認した公式資料では公表されていません。ただし、対象環境で悪用された場合の影響を考慮し、更新を優先してください。
Q. 8.8.6に更新済みなら安全ですか？
いいえ。8.8.6は今回のCVE-2026-117687の対象です。8.8.7への更新が必要です。8.0.13についても8.0.14が今回の修正版です。
Q. ダイナミックパブリッシングを使っていなければ問題ありませんか？
公式に説明された問題の経路はダイナミックパブリッシングです。すべて静的公開であれば、その経路のリスクは異なります。ただし、設定の混在や今後の変更を考慮し、影響バージョンであれば公式修正版への更新を推奨します。
Q. WordPressやMovableType.netも今回の対象ですか？
JVNに今回の影響製品として記載されているのは上記のMovable Type製品・系列です。WordPressは別製品です。MovableType.netについても、今回のJVNの影響製品一覧には記載されていません。名称が似ていても同一の脆弱性があると断定しないでください。
まとめ：サイト運営者が優先すべき対応
今回は、認証不要の細工されたリクエストによってPHPコードが実行されるおそれがある点が重要です。対象版なら修正版へアップデートし、DynamicTemplateAllowPHPの設定と動的公開の利用状況を確認してください。実害は未確認ですが、悪用の報道を待つより先に対処する価値のある脆弱性です。
出典・確認日
- JVN#11786640：Movable Typeにおけるコードインジェクションの脆弱性（2026年11月11日公表）
- シックス・アパート：Movable Type 8.8.7 / 8.0.14、Premium 2.19のセキュリティアップデート（2026年11月11日11:00公表）
- Movable Type 8：ダイナミックパブリッシングを有効にする（公式マニュアル）
確認日：2026年11月12日（日本時間）。最新の更新情報は開発元・JVNでご確認ください。
