Movable Type のセキュリティ更新：会社のサイトで外から PHP を動かされるおそれ。版と更新の予定を今日確かめる

シックス・アパートは2026年11月11日、Movable Type 8.8.7・8.0.14 と Movable Type Premium 2.19 を公開しました。直したのは、外から細工したリクエストを送られると、サイトのサーバーの上で任意の PHP コードを実行されるおそれのある脆弱性です。Movable Type は、会社のサイトや採用サイト、お知らせのページなどを作る CMS（サイトの管理ソフト）です。自社のサイトが Movable Type なら、今日のうちに版と更新の予定を確かめます。

何が変わったか

中身は、シックス・アパートの「［重要］Movable Type 8.8.7 / 8.0.14、Movable Type Premium 2.19 の提供を開始（セキュリティアップデート）」と、JVN の「JVN#11786640」で確かめました。ダイナミックパブリッシングを使っていないサイトがどこまで影響を受けるかは、どちらにも書かれていません。使っているかどうかは、制作会社に確かめてください。

ソフトウェア版の更新について、シックス・アパートは、先にデータベースのバックアップを取り、上書きではなく別のフォルダに入れる方法を強く勧めています。

自社が関係するかの見分け方

サイトを作った会社と、いま管理している会社が違うこともあります。古いキャンペーンのサイトや採用サイトなど、ふだん見ていないサイトも書き出してから聞くと、漏れが減ります。WordPress など、ほかの CMS を使っている場合の考え方は「WordPress のサイトを EmDash に移すべきか」でまとめました。

今日やること

1. サイトを書き出す：会社のサイト、採用サイト、キャンペーンのサイトなど、自社の名前で出しているサイトを書き出す
2. CMS と版を聞く：サイトごとに、Movable Type か、版はいくつか、ソフトウェア版かクラウド版かを、制作会社か管理している会社に聞く
3. 更新の日を決める：対象なら、8.8.7・8.0.14・Premium 2.19 に上げる日を決める。先にバックアップを取る
4. 7 と 8.4 系なら、移る先と対策を決める：修正版が出ていないので、移る先の版と時期、それまでの対策を相談する
5. 更新のあとにサイトを見る：表示や動きが変わる場合があるので、主なページを開いて確かめる

保守会社に聞くこと

• 自社のサイトの Movable Type の版と、ダイナミックパブリッシングを使っているか
• 今回の更新をいつ当てるか。更新が月々の保守の範囲か、別の見積もりか
• 7 や 8.4 系の場合、移る先の版と費用、それまでの対策（DynamicTemplateAllowPHP の設定を含む）

制作会社や保守会社に確かめたいセキュリティの項目は「開発会社に確認したいセキュリティの項目」でまとめました。PHP で動くサイトの脆弱性の考え方は「PHP の重大な脆弱性はその後どうなったか」にあります。

そのほかの動き

• 法人の中間申告書等の発送の遅れ：国税庁は、11月が申告・納付期限の法人に送る法人税の予定申告書・消費税の中間申告書・納付書の発送が遅れており、11月13日から19日の間に順に送る予定と発表しました（国税庁、11月12日更新）。e-Tax のメッセージボックスへの「お知らせ」は11月9日に送り終えています。
• Windows の NTLM 署名の強化：Microsoft は11月10日の更新から、Windows のパソコンが NTLM の接続で署名を申し出るようにしました。2027年5月には、Windows Server が既定で署名を必須にし、署名しない接続を断る予定です（Microsoft KB5135557）。古い機器から Windows Server につないでいる場合は、保守会社に影響を聞いておきます。
• Node.js のセキュリティ更新：Node.js は11月11日（米国時間）、22.x・24.x・26.x に16件の脆弱性の修正を出しました（Node.js）。

クリーヴァに相談するとき

自社のサイトの CMS や版が分からない、更新を頼める会社がいない、といった場合は、サイトと部品の一覧を作るところからお手伝いします。

出典（2026年11月13日に確認）

• シックス・アパート「［重要］Movable Type 8.8.7 / 8.0.14、Movable Type Premium 2.19 の提供を開始（セキュリティアップデート）」（2026年11月11日）
• JVN「JVN#11786640: Movable Typeにおけるコードインジェクションの脆弱性」（2026年11月11日）
• 国税庁「法人税及び地方法人税の予定申告書、消費税及び地方消費税の中間申告書並びに納付書発送等に関するお知らせ」（2026年11月12日更新）
• Microsoft「NTLM signing security improvements in Windows（KB5135557）」（2026年11月10日）
• Node.js「Node.js Security Releases: Wednesday, November 11, 2026」