Movable Type に発見された脆弱性の修正を行なった Movable Type 8.8.7、8.0.14 の提供を開始しました。
あわせて Movable Type Premium 2.19（Movable Type 8.8.7 ベース / Movable Type 8.0.14 ベース）もリリースしています。
本リリースはセキュリティに関する修正のため、必ずご確認とアップデートをお願いします。
※ Movable Type 8.0 系は、2026年11月5日にEOLとなって間もないため、修正版を提供します。
ニュース目次
セキュリティ上の修正（修正を行なった全バージョン共通）
Movable Type 8.8.7、8.0.14 および Movable Type Premium 2.19 において、すべて共通でセキュリティ上の修正のみ行なっています。
-
環境変数 DynamicTemplateAllowPHP を 1 に設定している場合においても、次のMTタグとモディファイア、およびエラー表示処理について、テンプレート処理結果に含まれるPHPコードを実行しないように修正（CVE-2026-117687）
- MTInclude タグ
- MTIncludeBlock タグ
- MTWidgetSet タグ
- MTWidgetManager タグ
- MTFileTemplate タグ
- MTUserSessionCookieDomain タグ
- MTUserSessionCookiePath タグ
- mteval モディファイア
- ダイナミックパブリッシングのエラーテンプレート（404など）
本修正で、Movable Type 9 と同じ挙動になりました。これにより、ダイナミックパブリッシングでのウェブサイトの表示や動作が変わる可能性があります。
また、この変更の例外として、次のいずれかに該当する場合、MTInclude、MTIncludeBlock、MTWidgetSet、MTWidgetManager による読み込みでテンプレート処理結果に含まれるPHPコードが実行されます。
- サイトのインクルード方式がPHPで、MTInclude または MTIncludeBlock に ssi="1" が指定されている
- 読み込む対象テンプレートのサーバーサイドインクルード設定（include_with_ssi）が有効になっている（MTWidgetSet、MTWidgetManager では、読み込まれる各ウィジェットの設定が対象です）
※ テンプレートに直接記述されたPHPコードは修正前と同様に引き続き実行されます
なお、Movable Type 8.8.7（8.8.7 ベースの Movable Type Premium を含む）においては、環境変数 DynamicTemplateAllowPHP を 0 に設定している場合、修正前はテンプレート処理結果に含まれるPHPコードは実行されていませんでしたが、修正後は上記の例外に該当する場合にテンプレート処理結果に含まれるPHPコードは実行されるようになります。
それぞれのリリースノートもご参照ください。
修正を行なった各バージョンのリリース対象製品
Movable Type 8.8.7
クラウド版／ソフトウェア版／AMI版
Movable Type 8.0.14
ソフトウェア版／AMI版
Movable Type Premium 2.19
Movable Type 8.8.7 ベース：クラウド版／ソフトウェア版
Movable Type 8.0.14 ベース：ソフトウェア版
それぞれの入手方法について
ソフトウェア版のアップデートを行なう際は、データベースのバックアップを必ず取得したのち、上書きアップデートではなく別ディレクトリへインストールする形でのアップデートを強くおすすめします。
- ソフトウェア版 Movable Type (Advanced) / Movable Type Premium (Advanced Edition)のライセンスをお持ちの方
- シックス・アパート ユーザーサイトから最新版をダウンロードいただけます。 Movable Type を最新のバージョンにアップデートする手順についてはマニュアルをご覧ください。
- ソフトウェア版 Movable Type (Advanced) / Movable Type Premium (Advanced Edition) のライセンスをお持ちでない方
- ライセンスご案内ページから、必要なライセンスをご購入ください。
- ソフトウェア版 Movable Type (Advanced) / Movable Type Premium (Advanced Edition) のライセンスをお持ちで、年間メンテナンスを継続せず期限が切れている方
- 最新バージョンをご利用になるには、必要な期間分の年間メンテナンスもしくは新規でライセンスをご購入ください。
- クラウド版で Movable Type / Movable Type Premium をご利用の方
- Movable Type 8（Movable Type Premium を含む）をご利用のお客様の環境において既にメンテナンスを実施し、すべての環境でアップデートが完了しています。
※ 自動アップデート無効にされている場合もアップデートが実施されています。 - Movable Type AMI版 をご利用の方
- アップデートの手順はマニュアルをご覧ください。AWS Marketplace にはAWS による審査後に公開されます。新規購入の詳細は Movable Type AMI版 のページをご覧ください。
- 個人無償版をご利用の方
- 個人無償版ダウンロードフォームより再度お申し込みいただき、改めてダウンロードしてご利用ください。
その他、Movable Type の詳細は、製品サイトをご覧ください。