Movable Typeに緊急度の高い脆弱性、自社サイトは大丈夫？発注者が開発会社へ今日確認したい5つのこと

2026年10月9日2026年10月13日

2026年10月7日、国内で広く使われているCMS「Movable Type」に複数の脆弱性が見つかったと、IPAとJPCERT/CCが運営するJVN（脆弱性情報データベース）で公表されました。コーポレートサイトやオウンドメディアを、Movable Typeで運用している企業は少なくありません。

「うちのサイトがMovable Typeかどうか、そもそも分からない。誰に何を確認すればいいんだろう…」

先に結論をお伝えします。まず確認するのは「自社サイトがMovable Typeで動いているか」と「そのバージョン」の2点で、確認先は開発会社（または保守を頼んでいる会社）です。該当する場合は、修正版への更新、更新できないときは暫定対策を、開発会社に依頼します。自分で調べる必要も、慌てて作業を始める必要もありません。

この記事は、2026年10月13日時点の公表情報にもとづき、発注者の立場で「何を聞いて、何を頼むか」を整理します。技術的な仕組みには踏み込みません。

今回公表された脆弱性の要点（2026年10月13日時点）

事実は次のとおりです。

📰 出典：IPA「『Movable Type』における複数の脆弱性について（JVN#91153973）」

項目	内容
公表日	2026年10月7日
対象製品	シックス・アパート社のCMS「Movable Type」（9.2系・9.0系・8.8系・8.0系、Movable Type Premium 各系統）
起こりうること	任意のPerlコードの実行、任意のSQL（データベースへの命令）の実行
深刻度（CVSS v3）	CVE-2026-96408：9.4（緊急）／CVE-2026-103668：8.6（重要）
修正版	Movable Type 9.3.0・9.0.10・8.8.6・8.0.13、Movable Type Premium 9.3.0・9.0.10・2.18
注意点	サポートが終了した8.4系や7系以前なども対象に含まれる（修正版は出ない系統がある）

「任意のコードやSQLが実行される」とは、簡単に言えば外部の第三者が、サイトの裏側で意図しない命令を動かせてしまうおそれがあるということです。サイトの改ざんや、保存されている情報の閲覧につながる可能性があります。

なお、悪用が実際に確認されているかどうかは、この記事の執筆時点で私が確認できた範囲では、公表情報に記載がありませんでした。最新の状況はIPA・JVN、そしてシックス・アパート社の案内でご確認ください。

発注者にとって何が変わるか／変わらないか

ここからは、事実ではなく筆者の見解です。

変わること

該当するサイトは、「次の定期メンテナンスで」ではなく、早めに更新の判断をする必要が出ます。深刻度が最高クラスに近い評価だからです。
サポート終了の系統を使っている場合は、更新ではなく「移行」や「作り替え」の相談が必要になる可能性があります。

変わらないこと

自社の責任範囲は、従来どおり契約で決まります。保守契約に「セキュリティ更新」が含まれているかが、誰が動くかを分けます。
脆弱性は今回限りではありません。CMSに限らず、サイトを構成する部品は定期的に更新が必要です。同じ考え方は、WordPressの重大な脆弱性への対応でも整理しています。

今やるべきこと／様子見でいいこと

区分	内容
今日〜数日でやる	自社サイトのCMSとバージョンを、開発会社に確認する。該当するなら更新の日程と費用を確認する
該当するなら急ぐ	更新が難しい場合の暫定対策（後述）を依頼し、実施した日を記録してもらう
余裕があるときに	保守契約の範囲、更新の連絡ルール、サポート終了の系統を使っていないかを見直す
様子見でよい	CMSの乗り換えそのもの。今回の件だけで即決せず、保守の見直しとあわせて検討する

暫定対策として、IPAの案内には、特定のCGIファイル（mt-upgrade.cgi・mt-search.cgi・mt-ftsearch.cgi）を削除するか実行権限を外す方法などが挙げられています。ただし、サイト検索など一部の機能が使えなくなる可能性があるため、実施は必ず開発会社と相談のうえで行ってください。

開発会社に確認するチェックリスト

☐ 自社サイト（本サイト、キャンペーンサイト、過去のサイトを含む）にMovable Typeは使われているか
☐ 使っている場合、バージョンはいくつか。今回の対象か
☐ 修正版へ更新できるか。更新の日程・作業内容・費用はどうなるか
☐ すぐに更新できない場合、暫定対策は実施するか。それによって止まる機能はあるか
☐ 更新前にバックアップを取るか。戻せることを確認しているか
☐ すでに不正なアクセスや改ざんの形跡がないか、ログを確認してもらえるか
☐ サポートが終了したバージョンを使っていないか

そのまま送れる質問例

> お世話になっております。先日公表されたMovable Typeの脆弱性（JVN#91153973）について確認です。 > 1. 弊社の運用サイトのうち、Movable Typeを使っているものと、そのバージョンを教えてください。 > 2. 該当する場合、修正版への更新の予定日と、費用の有無を教えてください。 > 3. 更新までに時間がかかる場合の暫定対策と、影響が出る機能を教えてください。 > 4. 更新前後のバックアップと、不審なアクセスがないかの確認結果を、あわせて報告してください。

「いつまでに、何を、誰が」を、メールの返信で残してもらうのがポイントです。口頭だけだと、後から「頼んでいなかった」という行き違いが起きやすくなります。