シックス・アパートは2026年11月11日、Webサイトを管理するCMS「Movable Type」のセキュリティ更新を公開しました。対象のダイナミックパブリッシング機能に細工したリクエストを送られると、サーバー上で意図しないPHPコードが動く可能性があります（CVE-2026-117687）。
自社サイトをMovable Typeで運用している場合は、保守担当者に製品・バージョン・公開方法を確認してください。 公式クラウド版は全環境で更新済みと発表されています。一方、ソフトウェア版やAMI版は自社側の対応確認が必要です。
「サイトを見る側」からサーバーの処理を動かされるおそれ
ダイナミックパブリッシングは、アクセスに応じてページを組み立てる仕組みです。今回の問題は、この処理でコードとデータを適切に分けられず、外部から送られた内容がPHPの処理として実行される可能性があるというものです。
JVNの評価では、攻撃者の事前ログインや利用者の操作は必要とされていません。ただし、Movable Typeを使う全サイトで同じように成立する、とまでは判断できません。利用する公開機能やテンプレート設定などを保守担当者が確認する必要があります。静的なページが表示されていることだけで、ほかのページにも対象の処理がないとは判断しないでください。
11月11日に確認したJVNの公表とベンダーの告知には、実際の悪用を確認したという記載はありません。被害が発生したというニュースと、悪用されるおそれのある不備の公表を分けて読む必要があります。
対象と修正版。古い系列も確認する
| 利用中の系列 | JVNが示す影響範囲 | 今回の修正版 |
|---|---|---|
| Movable Type 8.8.x | 8.8.6以前 | 8.8.7 |
| Movable Type 8.0.x | 8.0.13以前 | 8.0.14 |
| Movable Type Premium 2.x | 2.18以前 | 2.19 |
| Movable Type 8.4.x・7 | サポート終了済みだが影響あり | サポート中の系列への移行を相談 |
| Movable Type 9 | 今回の脆弱性の影響なし | 今回の問題についての更新は不要 |
Movable TypeのAdvanced、PremiumのAdvanced Editionも対象に含まれます。8.0系列は11月5日にサポートが終了していますが、終了直後のため今回の修正版が提供されました。8.0.14へ更新できても、今後も同じ系列に修正が提供されると考えず、移行の予定を確認しましょう。
公式クラウド版と、自社で管理する版では対応が違う
公式のMovable Typeクラウド版では、Movable Type 8とPremiumを含む全環境で更新が完了したと案内されています。自動アップデートを無効にしていた環境も対象です。利用企業側では、更新によってサイトの表示や動作が変わっていないかを確認します。
他社のレンタルサーバーやクラウド上にソフトウェア版を設置している場合は、この「更新済み」に含まれるとは限りません。AWS上のAMI版も、保守担当者に更新を確認する対象です。サーバーを借りていることと、CMSの更新まで委託していることは別なので、契約上の担当を確認してください。
更新前後の表示確認まで、保守会社に依頼する
今回の修正は、テンプレートを処理した結果に含まれるPHPコードの実行方法を変更します。そのため、更新して終わりではなく、サイトの表示や機能が維持されているかの確認が必要です。
担当者には、次の内容をまとめて依頼すると状況を把握しやすくなります。
- 対象の確認：製品名・バージョン・契約形態と、ダイナミックパブリッシングを使っているページやテンプレートを確認する。
- 作業の準備：バックアップと戻し方、作業日時、表示や機能を確認するページを決める。
- 修正版の適用：利用する系列に合った更新を行い、適用後のバージョンを記録する。
- 動作確認：通常のページに加え、共通部品や404などのエラーページを確認する。問い合わせなどの重要な導線も、実データを使わずに確認できる方法を事前に決める。
ベンダーはソフトウェア版について、データベースをバックアップし、上書きではなく別ディレクトリへインストールする形の更新を強く推奨しています。具体的な手順は、サイト構成を把握している担当者が公式の案内に従って判断してください。
PHPの設定を変えるだけで十分とは判断しない
JVNは、PHPコードの実行を抑制する設定「DynamicTemplateAllowPHP」を0にする推奨も紹介しています。ただし、ベンダーの説明には、PHPのインクルード設定などによる例外や、テンプレートへ直接書かれたPHPコードは引き続き実行されるという注意点があります。
8.8.7では、設定が0でも特定の例外に当たると、更新前と実行の挙動が変わります。設定値を一つ変えればすべてのPHP実行を止められる、という意味ではありません。 更新の代わりに設定変更だけで済ませたり、運営担当者が理解しないまま本番設定を変更したりせず、テンプレートの使い方と合わせて保守担当者へ確認してください。
今回の確認を機に、CMSの製品名・版・更新担当・サポート期限を、運営側でも把握できる状態にしておくと、次の注意喚起で連絡先から調べ直さずに済みます。
出典
- JVN：Movable Typeにおけるコードインジェクションの脆弱性（11月11日）
- シックス・アパート：Movable Type 8.8.7 / 8.0.14、Premium 2.19のセキュリティ更新（11月11日）
確認日：2026年11月11日。各サイトの影響や更新状況は、利用する版・設定と保守契約によって異なります。