「Movable Type」に権限なくアップデートできる脆弱性

シックス・アパートが提供するコンテンツマネジメントシステム「Movable Type」に脆弱性が判明した。意図しないアップデート処理が実行されるおそれがある。

権限を持たないユーザーによって、アップデート処理が可能となる脆弱性「CVE-2026-44392」が明らかとなったもの。「Movable Type」「Movable Type Premium」に影響があり、いずれも「Advanced版」を含む。

権限チェックの不備に起因。本体やプラグインがアップグレードされている場合に、管理画面へサインインできるユーザーによって、権限を持つユーザーの意図に関係なくアップデート処理が実行されるおそれがある。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「5.3」、「CVSSv3.0」では「4.3」と評価されている。周知を目的に同社がJPCERTコーディネーションセンターに報告した。

同社は5月20日、「Movable Type 9.2.0」「同9.0.8」「同8.8.4」「同8.0.11」をリリース。「Movable Type Premium 9.2.0」「同9.0.8」「同2.16」も提供を開始した。アップデートの内容を確認し、アップデートを実施するよう呼びかけている。

（Security NEXT - 2026/05/20 ）ツイート