【セキュリティニュース】2026年10月10日号｜Movable Typeにコード実行・SQLインジェクションの脆弱性（CVE-2026-96408ほか）・バッファロー製Wi-Fi製品にOSコマンドインジェクション（CVE-2026-86530）・Apache Tomcatに15件の脆弱性・スマホアプリにAPIキー漏えいのおそれ
公開
IPA／JPCERT/CC（JVN#91153973）ほか｜ 2026年10月7日公表
CMS「Movable Type」にコードインジェクションとSQLインジェクションの脆弱性――自社サイトに使っている企業は最新版への更新を
IPAとJPCERT/CCは2026年10月7日、国内で広く使われているCMS「Movable Type」およびその上位版「Movable Type Premium」に2件の脆弱性があると公表しました（JVN91153973）。報告したのはGMO Flatt SecurityのRyotaK氏です。
1件目のCVE-2026-96408はアップグレードスクリプトのコードインジェクションで、悪用されると任意のPerlコードやSQLクエリがサーバー上で実行されるおそれがあります。2件目のCVE-2026-103668はサイト内検索機能のSQLインジェクションで、データベースへ不正なクエリを実行される可能性があります。いずれも、Webサイトの改ざんや管理情報・会員情報の漏えいにつながり得る深刻な内容です。
影響を受けるのは、Movable Type 9.2.1以前（9.2系はクラウド版のみ）・9.0.9以前・8.8.5以前・8.0.12以前（いずれもAdvanced含む）、Movable Type Premium 9.2.1以前（9.2系はクラウド版のみ）・9.0.9以前・2.17以前です。すでにサポートが終了している8.4系・7系以前、Premium 1系も対象とされています。修正版はMovable Typeが9.3.0／9.0.10／8.8.6／8.0.13、Premiumが9.3.0／9.0.10／2.18です。
Movable Typeはコーポレートサイトや店舗サイトの構築に国内で多く採用されており、自社サイトやその更新を制作会社に任せている中小企業も該当します。サイトが乗っ取られれば、改ざんによる取引先・来訪者へのマルウェア拡散や、問い合わせフォーム経由で集めた個人情報の流出に直結します。サポート切れのバージョンをそのまま使い続けている場合は特に危険です。
- 自社サイトがMovable Typeで動いているか、使っている場合はバージョンを確認する（制作会社に委託している場合は本日中に問い合わせる）
- 影響範囲に該当する場合は、修正版（9.3.0／9.0.10／8.8.6／8.0.13、Premiumは9.3.0／9.0.10／2.18）へ更新する
- サポートが終了したバージョンを使っている場合は、サポート対象のバージョンへの移行を計画する
- 管理画面（mt.cgi）をインターネットに公開している場合は、IPアドレス制限やBASIC認証でアクセス元を絞る
IPA／JPCERT/CC（JVNVU#94863997）ほか｜ 2026年9月28日公表
バッファロー製Wi-Fi製品にOSコマンドインジェクションの脆弱性――無線LANルーター・中継器のファームウェア更新を
バッファロー製のWi-Fi製品に、設定画面に起因する2件の脆弱性が公表されました（JVNVU#94863997、2026年9月28日）。報告者はVeeti Punnonen氏です。
CVE-2026-86530はOSコマンドインジェクションで、認証済みの利用者が細工した入力を処理させることで、機器上で任意のOSコマンドを実行されるおそれがあります。もう1件のCVE-2026-95104はスタックベースのバッファオーバーフローで、細工した入力によってサービス運用妨害（DoS）状態に陥る可能性があります。記事で具体的に挙げられている対象製品は、無線LANルーター「WSR-300HP」（ファームウェア Ver.2.55より前）と無線LAN中継器「WEX-G300」（Ver.1.71より前）です。
対策済みファームウェアはすでに提供されており、WSR-300HPのVer.2.55が2026年8月25日、WEX-G300のVer.1.71が2026年9月3日に公開されています。開発者は最新版への更新を呼びかけています。
小規模なオフィスや店舗では、家庭向けの無線LANルーター・中継器をそのまま業務に使っているケースが少なくありません。ネットワーク機器を乗っ取られると、社内通信の盗聴や他の端末への攻撃の踏み台にされます。これらの機器は一度設置すると長期間ファームウェアを更新しないまま使われがちで、脆弱性が放置される典型的な対象です。
- オフィスで使っている無線LANルーター・中継器のメーカーと型番を確認し、WSR-300HP・WEX-G300が含まれていれば最新ファームウェアへ更新する
- 他のバッファロー製品や他社製品も、この機会に設定画面からファームウェアの更新有無を確認する
- ルーターの管理画面のパスワードが初期設定のままになっていないか確認し、推測されにくいものに変更する
- 管理画面にインターネット側（WAN側）からアクセスできる設定になっていないか確認し、無効にする
Apache Software Foundation／IPA（JVNDB-2026-034784）ほか｜ 2026年9月23日公表（IPAは9月25日）
Apache Tomcatに15件の脆弱性――Javaで動く社内Webシステムを運用している企業は確認を
Apache Software Foundationは2026年9月23日、Javaのサーブレットコンテナ「Apache Tomcat」に関する15件のアドバイザリを公開し、IPAも9月25日にJVN iPediaで注意を呼びかけました（JVNDB-2026-034784）。前号までで取り上げた「Apache HTTP Server」とは別の製品で、JavaベースのWebアプリケーションを動かすための基盤ソフトです。
公表された脆弱性の多くはサービス運用妨害（DoS）につながるものですが、それ以外にも、コンテキスト間で認証が取り違えられるもの（CVE-2026-75973）、WebSocketでセキュリティ制約が回避されるもの（CVE-2026-76183）、リクエストヘッダやトレーラーが別のリクエストに混入するものなど、情報の取り違えや制御の回避につながる内容も含まれています。影響を受けるバージョンや修正版はアドバイザリごとに異なるため、Apacheの公式アドバイザリで自社の利用バージョンを確認する必要があります。
Tomcatは、業務システムや社内Webアプリ、パッケージ製品の実行基盤として広く使われています。自社では意識していなくても、導入した業務ソフトの内部でTomcatが動いていることがあります。DoSによる業務停止のほか、認証・アクセス制御の回避は、本来見えないはずのデータへアクセスされるリスクにつながります。
- 社内で稼働しているWebシステム・業務ソフトがTomcatを使っているか、使っている場合はバージョンを確認する（ベンダー製品の場合は提供元に問い合わせる）
- Apacheのアドバイザリで自社バージョンが影響範囲に含まれるか確認し、該当すれば修正版へ更新する
- すぐに更新できない場合は、Tomcatの管理ポートや不要な機能をインターネットに公開していないか確認する
- ベンダー提供の製品は、更新プログラムの提供時期と適用計画を提供元と調整する
IPA／JPCERT/CC（JVN#53292492）ほか｜ 2026年10月6日公表
スマホアプリ「チケット流通センター」にAPIキー漏えい・フィッシング誘導の脆弱性――自社アプリを持つ・委託開発している企業への教訓
Androidアプリ「チケット流通センター」（株式会社ウェイブダッシュ提供）に2件の脆弱性が公表されました（JVN#53292492、2026年10月6日）。報告者は株式会社ブロードバンドセキュリティの佐藤光喜氏です。対象はバージョン4.1.9以前で、開発元は修正版4.2.0を公開済みです。
CVE-2026-92861は認証情報のハードコードで、外部サービス連携に使うAPIキーがアプリから窃取されるおそれがあります。CVE-2026-92862はCustom URL Schemeハンドラーのアクセス制限不備で、悪意のあるアプリが細工したintentを送ると、本アプリ経由で任意のWebサイトを開かされ、フィッシング被害につながる可能性があります。
この事例自体は特定アプリの問題ですが、注目すべきは「APIキーをアプリに直接埋め込む」「外部からの呼び出しを検証しない」という、自社アプリや委託開発アプリでも起こりがちな実装の不備です。顧客向けアプリを公開している、あるいは開発を外部に委託している企業は、同じ弱点が自社アプリにないかを確認するきっかけにしてください。利用者側は、ストアからアプリを最新版に更新することで対策できます。
- （利用者）「チケット流通センター」アプリを使っている場合は、最新版（4.2.0以降）へ更新する
- （自社アプリを持つ企業）APIキーや認証情報をアプリ内に直接埋め込んでいないか、開発元・委託先に確認する
- （同）アプリが受け取るURLスキームやintentについて、呼び出し元の検証が行われているか確認する
- 委託開発の契約に、脆弱性が報告された際の修正対応と報告の取り決めを含める
編集部まとめ
今号は「情報漏えいの発生」ではなく「漏えいの原因になる脆弱性」に焦点を当てました。4件に共通するのは、いずれも修正版がすでに提供されており、適用さえすれば塞げるという点です。まずMovable Typeを使っている企業は本日中にバージョンを確認してください。あわせて、オフィスのWi-Fi機器とJava製の社内システムも対象として洗い出すことをお勧めします。
脆弱性は「公表されてから適用するまでの時間」が勝負です。対象製品の一覧と担当者・適用期限を決めておくことが、いざというときの行政指導・顧客対応のリスクを下げます。過去のニュースは記事一覧にまとめています。
参考情報
- 「Movable Type における複数の脆弱性（JVN#91153973）」IPA（情報処理推進機構）（2026年10月7日）
- 「Movable Type に複数の脆弱性」ScanNetSecurity（2026年10月9日）
- 「バッファロー製 Wi-Fi 製品に複数の脆弱性（JVNVU#94863997）」ScanNetSecurity（2026年10月2日）
- 「Apache Tomcat に複数の脆弱性（JVNDB-2026-034784）」ScanNetSecurity（2026年10月1日）
- 「Android アプリ『チケット流通センター』に複数の脆弱性（JVN#53292492）」ScanNetSecurity（2026年10月8日）