【注意喚起】Movable Typeで確認された脆弱性（CVE-2026-117687／JVN#11786640）について

2026/11/12

いつもロリポップをご利用いただき、ありがとうございます。

Movable Typeのダイナミックパブリッシング機能（アクセスのたびにページを生成して表示する機能）において、第三者に細工されたリクエストを送信されると、サーバー上で任意のPHPコードを実行されるおそれのある脆弱性（CVE-2026-117687／JVN#11786640）が報告されました。開発元のシックス・アパート株式会社より、修正版が公開されています。

2026年10月14日にお知らせした脆弱性の修正版（Movable Type 8.8.6／8.0.13、Movable Type Premium 2.18）も、今回の脆弱性の対象です。前回アップデートを済ませたお客様も、あらためてご確認をお願いいたします。

Movable Typeをご利用のお客様は、以下をご確認のうえ、お早めに対策をお願いいたします。

対象のMovable Type

製品	対象のバージョン	修正版
Movable Type （Advancedを含む）	8.8.6以前（8.8.x系） 8.0.13以前（8.0.x系）	8.8.7 8.0.14
Movable Type Premium （Advanced Editionを含む）	2.18以前（2.x系）	2.19

※ Movable Type 9は、今回の脆弱性の影響を受けません。
※ Movable Type 8.0系は2026年11月5日にサポートが終了していますが、今回は開発元より修正版（8.0.14）が提供されています。

サポートが終了した以下のバージョンも対象です。これらのバージョンには、修正版は提供されません。

Movable Type 7
Movable Type 8.4.x

ご利用中のMovable Typeのバージョンは、Movable Typeの管理画面でご確認ください。Movable Type 9、8.8.7、8.0.14、Movable Type Premium 2.19のいずれでもない場合は、対象の可能性があります。

対策方法

対策の基本は、修正版へのアップデートです。あわせて、開発元が推奨する設定を行ってください。修正版が提供されないMovable Type 7、8.4.xをお使いの場合は、サポート中のバージョンへの移行をご検討ください。使っていない場合は、削除をご検討ください。移行の方法は、開発元の案内をご確認ください。

1. 修正版へアップデートする

修正版へアップデートしてください。アップデートの前に、データベースのバックアップを取得してください。開発元は、上書きではなく別のフォルダにインストールする形でのアップデートを推奨しています。修正版の入手方法は、開発元の案内をご確認ください。

[重要] Movable Type 8.8.7 / 8.0.14、Movable Type Premium 2.19 の提供を開始（セキュリティアップデート）｜シックス・アパート

※ 個人無償版をお使いの場合は、開発元の個人無償版ダウンロードフォームから再度お申し込みのうえ、修正版をダウンロードしてください。
※ 修正版では、ダイナミックパブリッシングでのウェブサイトの表示や動作が変わる可能性があります。アップデート後は、ウェブサイトの表示をご確認ください。

2. 開発元が推奨する設定を行う

開発元は、テンプレートに記述したPHPコードの実行を制限するため、Movable Typeの設定ファイル（mt-config.cgi）に以下の1行を追加することを推奨しています。

DynamicTemplateAllowPHP 0

※ この設定は、Movable Type 7 r.5401以降で利用できます。それより前のバージョンでは効果がないため、サポート中のバージョンへの移行、または削除をご検討ください。
※ Movable Type 8以前は、初期設定でPHPコードの実行が許可されています（Movable Type 9以降は、初期設定で制限されています）。
※ この設定を行うと、テンプレートに直接記述したPHPコードがダイナミックパブリッシングで実行されなくなるため、ウェブサイトの表示が変わる場合があります。設定後は、ウェブサイトの表示をご確認ください。

3. 使っていないMovable Typeを削除する

以前設置したまま使っていないMovable Typeがある場合は、フォルダごと削除することをおすすめします。ファイルの削除方法は、「ロリポップ！FTPのファイル削除・検索・コピー方法」をご参照ください。