Movable Type 9.3.1とPHPの更新、クラウド版は対応済み

Movable Typeのクラウド版で、自動アップデートを初期設定の有効のままにしているなら、10月下旬からの3つの更新はどれも済んでいる。ソフトウェア版とAMI版では、本体を9.3.1か9.0.11に上げる。それに加えて、サーバーのPHPとOSの更新も自社の作業になる。

シックス・アパートは10月7日、多数の脆弱性を修正したMovable Typeの新しい版を出した。脆弱性の中身と対象の版は情シスの相棒の記事で読める。その後に出た更新は次の3つで、版によって誰が当てるかが違う。

更新	クラウド版	ソフトウェア版	AMI版
PHPの脆弱性（10月22日）	PHP 8.3.36に更新済み	サーバーのPHPを更新	サーバーのPHPを更新
本体の9.3.1と9.0.11（10月29日）	自動アップデートが有効なら適用済み	ユーザーサイトから入手して更新	マニュアルの手順で更新
Linuxカーネルの脆弱性（11月1日）	緩和策を適用済み	お知らせの対象外（OSは自社で更新）	Amazon Linuxの更新を適用

クラウド版のPHPとカーネルの対応は、自動アップデートを無効にしている環境にも当てられた。どちらもMovable Typeのバージョン番号は変わらない。そのため、管理画面に出る番号を見ても対応の有無は分からない。

9.3.1で元に戻ったカスタムフィールドの扱い

10月7日に出た9.3.0と9.0.10には、カスタムフィールドの扱いの変更が入っていた。値が入っていない記事やページなどから値を取り出すとき、そのフィールドの既定値を当てるというものだ。10月29日の版は、この変更が原因の不具合が見つかったとして変更を取り消し、以前の動きに戻した。不具合の中身は公表されていない。ただ、カスタムフィールドに既定値を設定し、値を入れていない記事があるなら、10月7日の版で再構築したページを見ておきたい。空のはずの欄に、既定値が出ている場合がある。

10月29日の版には、10月7日の版で修正した脆弱性の対策も入っている。Movable Type 9をまだ10月7日の版に上げていないなら、9.3.1か9.0.11へ直接上げればよい。Premiumの同じ版では、MySQLのstrictモードを有効にした環境でRebuildScheduleManagerを入れられない問題も修正された。

ソフトウェア版は、シックス・アパートのユーザーサイトから最新版を入手する。年間メンテナンスの期限が切れていると最新版は使えず、要る期間分のメンテナンスか新しいライセンスを買うことになる。シックス・アパートが強く勧めるのは、データベースのバックアップを取ってから、上書きせずに別のディレクトリへ入れる方法だ。個人無償版は、ダウンロードのフォームから申し込み直す形になる。AMI版はマニュアルの手順で更新し、AWS Marketplaceの新しい版はAWSの審査のあとに公開される。

PHPとカーネルは、本体を上げても対策にならない

Movable Typeのダイナミックパブリッシングと一部のプラグインはPHPで動く。10月に公開されたPHPの脆弱性¹に対して、クラウド版は10月22日0時12分にPHPを8.3.36に更新した。10月23日に公開された別の脆弱性も、このメンテナンスで対応済みとされる。ソフトウェア版とAMI版では、Movable Type本体ではなく、サーバーで動いているPHPを修正版に上げる必要がある。同じ脆弱性でほかの国内のサービスが緊急メンテナンスに入った様子は、TECHNOVAの記事で読める。

Linuxカーネルの脆弱性²には、クラウド版は11月1日16時5分に緩和策の適用を終えた。AMI版向けには、Amazon Linuxで対策済みの更新が出ている。ソフトウェア版はこのお知らせの対象に入っていない。自社サーバーで動かしているなら、OSの更新も自社で当てる。

クラウド版の中でも、IDCFクラウドプランには制限が残っている。IDCFクラウドがランサムウェアの攻撃を受けた件（経緯は情シスの相棒の記事）を受けたもので、10月28日の第5報の時点では、IDCFクラウドポータルが戻るまで次の操作ができない。

• 新規の申し込み
• IDCFクラウドプランへの、またはプランの中でのプラン変更
• Movable Type 8から9へのアップグレード
• サンドボックスの作成

さくらのクラウドのプランは、新規の申し込みとサンドボックスを受け付けている。いまIDCFクラウドプランを使っていても、サポートに相談すれば、さくらのクラウドのプランへ移れる。ただし、IPアドレスとFTPのアカウントが変わる。ストレージなどの仕様が同じ条件にならない場合もあり、移行には時間がかかり、対応まで待つ場合があるという。データの流出は、止まっている31台を含め、すべてのサーバーで確認されていないという。

注

1. CVE-2026-109618とCVE-2026-109619。10月23日に公開された別の脆弱性はCVE-2026-115560。 ↩

2. CVE-2026-98432（Use-after-free）。 ↩