「Movable Type」における複数の脆弱性について（JVN#66473735）

公開日：2026年4月8日

最終更新日：2026年4月8日

注釈：最新情報は、JVN(JVN#66473735)をご覧ください。

概要

シックス・アパート株式会社が提供する「Movable Type」は、コンテンツ管理システムです。

「Movable Type」には、コードインジェクション、SQLインジェクションの脆弱性が存在します。

本脆弱性を悪用された場合、任意のPerlコードが実行されたり、任意のSQLコマンドを実行されたりする可能性があります。

開発者が提供する情報をもとに、最新版へアップデートしてください。

脆弱性の深刻度は共通脆弱性評価システムCVSS v3に基づいて定めている。

CVE-2026-25776

CVE-2026-33088

次の製品が対象です。

Movable Type 9.1.0 およびそれ以前（Movable Type 9.1系）
Movable Type 9.0.6 およびそれ以前（Movable Type 9.0系）
Movable Type 8.8.2 およびそれ以前（Movable Type 8.8系）
Movable Type 8.0.9 およびそれ以前（Movable Type 8.0系）
Movable Type Advanced 9.1.0 およびそれ以前（Movable Type Advanced 9.1系）
Movable Type Advanced 9.0.6 およびそれ以前（Movable Type Advanced 9.0系）
Movable Type Advanced 8.8.2 およびそれ以前（Movable Type Advanced 8.8系）
Movable Type Advanced 8.0.9 およびそれ以前（Movable Type Advanced 8.0系）
Movable Type Premium 9.1.0 およびそれ以前（Movable Type Premium 9.1系）
Movable Type Premium 9.0.6 およびそれ以前（Movable Type Premium 9.0系）
Movable Type Premium Advanced Edition 9.1.0 およびそれ以前（Movable Type Premium Advanced Edition 9.1系）
Movable Type Premium Advanced Edition 9.0.6 およびそれ以前（Movable Type Premium Advanced Edition 9.0系）
Movable Type Premium 2.14 およびそれ以前
Movable Type Premium Advanced Edition 2.14 およびそれ以前
Movable Type Premium MT8ベース 2.14 およびそれ以前

開発者によると、リスティングフレームワークを利用した管理画面を持つ、またはData APIを利用しているMovable Typeが本脆弱性の影響を受けるため、以下のサポートが終了した製品も影響を受けるとのことです。

開発者が提供する情報をもとに、最新版へアップデートしてください。

詳しくは、開発者が提供する下記サイトの情報をご確認ください。

開発者によると、Data APIを経由する攻撃については、以下の方法でData APIを利用不可とすることにより回避することができるとのことです。

詳しくは、開発者が提供する情報をご確認ください。

「情報セキュリティ早期警戒パートナーシップ」について
この脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。詳細は、下記の URL を参照ください。
- 脆弱性関連情報の届出受付

IPA セキュリティセンター

注釈：個別製品の脆弱性情報の詳細につきましては、製品開発者にお問い合わせください。