- Movable Typeの脆弱性（JVN#91153973）の内容と、影響を受けるバージョン
- 案内されている修正版と、自社サイトが対象かを確かめる3ステップ
- すぐに更新できないときの暫定対策（ワークアラウンド）
- 制作会社にそのまま送れる、確認の依頼文
2026年10月7日、IPA（情報処理推進機構）が、CMS「Movable Type」の複数の脆弱性（JVN#91153973）について注意を呼びかけました。Movable Typeは、企業のホームページやお知らせ・ブログに、長く使われてきた国産のCMSです。「うちのサイトのお知らせはMovable Typeかもしれない」「制作会社に任せていて、よく分からない」という方に向けて、確認の手順と対策を整理します。
まず結論｜Movable Typeを使っているなら、バージョン確認と更新を
今回の脆弱性は、悪用されるとシステム上で任意のPerlコードや任意のSQLコマンドが実行される可能性があるものです。開発元（シックス・アパート）が修正版を公開しているため、お使いのバージョンを確認し、修正版へ更新するのが基本の対応です。
深刻度は「緊急」、CVSS v3の基本値は9.4です。任意のPerlコードが実行される可能性があります。
深刻度は「重要」、基本値は8.6です。任意のSQLコマンドが実行される可能性があります。
上の2件以外にも修正があります。詳細は開発元の公式情報で確認してください。
影響を受けるバージョンと、修正版
IPAの案内では、次のバージョンが影響を受けるとされています。
- Movable Type：9.2.1以前（9.2系、クラウド版のみ）／9.0.9以前（9.0系、Advancedを含む）／8.8.5以前（8.8系、Advancedを含む）／8.0.12以前（8.0系、Advancedを含む）
- Movable Type Premium：9.2.1以前（9.2系、クラウド版のみ）／9.0.9以前（9.0系、Advancedを含む）／2.17以前（2系、Advancedを含む）
- サポートが終了した版：8.4系、7系以前のMovable Type、Movable Type Premium 1系も影響を受けるとされています。
案内されている修正版は、Movable Type：9.3.0、9.0.10、8.8.6、8.0.13／Movable Type Premium：9.3.0、9.0.10、2.18です。お使いの系統（9.0系、8.8系など）に合った版へ更新します。サポートが終了している古い版をお使いの場合は、更新だけでは済まないことがあるため、開発元の案内を見ながら、サポート中の版への移行を検討してください。
「クラウド版のみ」と書かれた系統は、提供元が運用している環境です。お客様側での作業が必要かどうかは、提供元の案内で確認してください。
自分のサイトが対象か確かめる3ステップ
- そもそもMovable Typeで動いているかを確かめる：サイトのお知らせやブログ部分の管理画面にログインできる方は、ログイン画面に「Movable Type」と表示されるかを見てください。管理画面のURLに
mt.cgiが入っている環境も多くあります。ログイン情報が分からない場合は、サイトを作った制作会社に聞くのが確実です。 - バージョンを確認する：管理画面にログインして、バージョンの表示を確認します。見つからない場合は、制作会社や保守の担当者に「Movable Typeのバージョンはいくつですか」と聞いてください。
- 上の対象バージョンと照らし合わせる：お使いのバージョンが「以前」の範囲に入っていれば、更新が必要です。
すぐに更新できないときの暫定対策
テストや調整の都合で、すぐに更新できないこともあります。IPAの案内では、更新できない場合のワークアラウンド（回避策）として、次の方法が示されています。
- CGI版：
mt-upgrade.cgi、mt-search.cgi、mt-ftsearch.cgiの3つを削除するか、実行権限を外します。 - PSGI版（MT 6.2以降）：設定ファイル
mt-config.cgiに、RestrictedPSGIAppでupgrade、new_search、ft_searchを指定します（ft_searchはMT 6.2.4以降）。
ファイルの削除や設定変更の前に、必ずバックアップを取ってください。これらの機能を止めると、サイト内検索など一部の機能に影響が出る場合があります。あくまで「更新までの一時しのぎ」と考え、早めに修正版へ更新するのが基本です。
更新するときに気をつけたいこと
- 更新前にバックアップを取る：サイトのファイルとデータベースの両方を取っておきます。
- 可能ならテスト環境で先に確認する：長く使っているサイトは、独自のカスタマイズやプラグインが入っていることがあります。更新で表示や機能が崩れないかを、先に確かめられると安心です。
- 更新後に、表示と管理画面の動作を確認する：トップページ、お知らせ、問い合わせフォーム、管理画面へのログインを一通り見ます。
制作会社に送る確認の文面
次の文面を、そのまま送れます。
お世話になっております。弊社のホームページについて、確認させてください。
①サイト（またはお知らせ・ブログ部分）でMovable Typeを使っているか
②使っている場合、現在のバージョン
③2026年10月7日にIPAが注意喚起した、Movable Typeの脆弱性（JVN#91153973）への対応状況と、更新の予定
お手数ですが、分かる範囲で教えてください。
「うちのサイトは、何で動いている？」を、
外部の視点で無料点検します。
公開情報の範囲で、CMSの種類やバージョンの露出、管理画面の露出、SSLの状態を点検し、優先度の高い対策から整理してお渡しします。押し売りはしません。
オンライン対応・押し売りなしよくある質問（FAQ）
Movable Typeを使っているかどうか、どうすれば分かりますか？
管理画面にログインできる場合は、ログイン画面に「Movable Type」と表示されるかを確認します。管理画面のURLに mt.cgi が含まれていることも手がかりになります。ログイン情報が分からないときは、サイトを作った制作会社や保守の担当者に問い合わせるのが確実です。
サイトを止めたほうがいいですか？
IPAの案内では、まず修正版への更新が基本です。すぐに更新できない場合は、案内されているワークアラウンド（特定のCGIファイルの削除や実行権限の削除など）を、バックアップを取ったうえで検討してください。
WordPressで作っているサイトも対象ですか？
今回の脆弱性はMovable Typeのものです。WordPressは別のシステムのため、今回の件の対象ではありません。ただしWordPressにも別の重要な更新が出ています。詳しくは関連記事をご覧ください。
更新を制作会社に頼んだほうがいいですか？
独自のカスタマイズが入っている場合は、制作会社や保守の担当者に依頼するのが安全です。更新前のバックアップと、更新後の表示確認までをセットで依頼してください。
サポートが終わった古いバージョンを使っています。どうすればよいですか？
8.4系や7系以前などの古い版も影響を受けるとされています。更新だけでは済まないことがあるため、サポート中の版への移行を、開発元の案内を確認しながら検討してください。
まとめ｜Movable Typeなら、まずバージョンの確認から
Movable Typeを使っている場合は、バージョンを確認し、修正版（9.3.0、9.0.10、8.8.6、8.0.13など）へ更新するのが基本です。すぐに更新できないときは、IPAが示すワークアラウンドで一時的に備えつつ、早めに更新の段取りをつけてください。使っているか分からないときは、制作会社への一通の確認から始められます。
参考：IPA「「Movable Type」における複数の脆弱性について（JVN#91153973）」（2026年10月7日）。状況は更新されることがあります。最新情報は、IPA・JPCERT/CCおよび開発元の発表をご確認ください。