Movable Type のダイナミックパブリッシング機能に、コードインジェクションの脆弱性が確認されました。認証なしでネットワーク経由の攻撃が可能とされており、CVSS 基本値は 7.3 です。影響を受けるバージョンや修正版は公表情報からは確認できないため、Movable Type を利用するサイトの運用者は、製品の情報を確認してください。
概要
JVN が公表した CVE-2026-117687（JVN#11786640）は、シックス・アパート株式会社が提供する Movable Type のダイナミックパブリッシング機能に存在する脆弱性です。
脆弱性の種類は、外部から不正なコードを混入させられるコードインジェクションです。CVSS 基本値は 7.3 と評価されており、ネットワーク経由で認証なしに攻撃でき、利用者の操作も必要ないとされています。
影響を受けるバージョン
影響を受ける Movable Type のバージョンと、脆弱性が修正されたバージョンは、公表情報からは確認できません。利用中のバージョンを確認したうえで、対象範囲や修正状況についてベンダーの情報を確認してください。
想定される影響
攻撃が成立すると、不正なコードが実行され、情報の漏えいや改ざん、サービスへの影響が生じる可能性があります。CVSS の評価では、機密性・完全性・可用性のそれぞれに影響があるとされています。
攻撃者は認証なしでネットワーク経由の攻撃が可能とされ、利用者の操作も必要ありません。具体的な攻撃条件や影響範囲の詳細については、ベンダーや JVN の情報を確認してください。
対策
利用中の Movable Type のバージョンを確認し、ベンダーから影響範囲や修正版に関する情報が公表されていないか確認してください。修正版への更新が案内されている場合は、その手順に従って対応します。
更新前にはサイトやデータのバックアップを取得し、可能であればテスト環境で表示や機能に問題がないことを確認してください。修正版のバージョンや一時的な回避策は、公表情報からは確認できません。
エッジキャッシュCDN をご利用のお客様へ
エッジキャッシュの WAF は、OWASP Top 10 に代表されるルールと、一部カスタムルール、不正 IP ブロック（IP レピュテーション）にて攻撃パターンを検知するルールで Web サイトを保護しています。ただし、脆弱性の種類によっては WAF はソフトウェアの更新の代わりにはなりません。この脆弱性の影響を受けるバージョンをお使いの場合は、まず上記の対策を行ってください。
WAF の設定や、この脆弱性への対応についてご不明な点があれば、サポート窓口までお気軽にお問い合わせください。
参考情報
※ この記事は 2026年11月11日時点で公開されている情報をもとに作成しています。
