Movable Type 8.0.14 リリースノート
このバージョンではセキュリティ上の問題の解決が含まれています。
※ Movable Type 8.0 系は、2026年11月5日にEOLとなって間もないため、今回は例外的に修正版を提供します。
修正された問題
セキュリティ上の修正、改善
ダイナミックパブリッシング
環境変数 DynamicTemplateAllowPHP を 1 に設定している場合においても、次の MT タグとモディファイア、およびエラー表示処理について、テンプレート処理結果に含まれる PHP コードを実行しないように修正しました。本修正により、ダイナミックパブリッシングでのウェブサイトの表示や動作が変わる可能性があります（CVE-2026-117687, MTC-31851）
MTInclude タグMTIncludeBlock タグMTWidgetSetタグMTWidgetManagerタグMTFileTemplateタグMTUserSessionCookieDomainタグMTUserSessionCookiePathタグmtevalモディファイア- ダイナミックパブリッシングのエラーテンプレート（404 など）
この変更の例外として、
MTInclude、MTIncludeBlock、MTWidgetSet、MTWidgetManagerによる読み込みでは、次のいずれかに該当する場合、引き続きテンプレート処理結果に含まれる PHP コードが実行されます- サイトのインクルード方式が PHP で、
MTIncludeまたはMTIncludeBlockにssi="1"が指定されている。 - 読み込む対象テンプレートのサーバーサイドインクルード設定（
include_with_ssi）が有効になっている（MTWidgetSet、MTWidgetManagerでは、読み込まれる各ウィジェットの設定が対象です）
※ テンプレートに直接記述された PHP コードは修正前と同様に引き続き実行されます
謝辞
リリースにあたり不具合の報告や機能要望をしていただいた皆様すべてに感謝します。また、脆弱性情報のハンドリングにご協力いただいた JPCERT/CC、IPA に感謝します。
