2026年10月21日に公表された PHP の脆弱性（CVE-2026-109618、CVE-2026-109619）について、MTAppjQuery をご利用のお客様へ、弊社の見解と必要な対応をお知らせいたします。
結論
今回の脆弱性について、MTAppjQuery の更新や設定の変更は必要ありません。弊社から修正版を提供する予定もございません。
今回の脆弱性は PHP 本体の不具合で、プラグインの作りによって影響が変わるものではありません。サーバーで PHP を使っている場合は、MTAppjQuery の利用の有無にかかわらず、PHP を修正版へ更新してください。
MTAppjQuery と PHP の関係
MTAppjQuery の機能は、管理画面で動作する JavaScript と、Movable Type 本体と同じ Perl で動作しています。管理画面の操作や再構築で PHP を使うことはありません。
ただし、MTAppjQuery のテンプレートタグ・モディファイアをダイナミックパブリッシングで使うための PHP ファイルを、plugins/MTAppjQuery/php/ に 7 つ同梱しています。
function.mtdumper.php：mt:Dumper タグ（テンプレート変数の中身を出力する確認用のタグ）function.mtuserfileappendtext.php：以前のバージョンにあった機能の名残で、空の文字列を返すだけのファイルmodifier.compress.php：compress モディファイア（空行・行頭の空白・改行の除去）modifier.json_decode.php：json_decode モディファイア（JSON 形式の文字列の変換）modifier.nengou.php：nengou モディファイア（日付の和暦への変換）modifier.split.php：split モディファイア（文字列の分割）modifier.split_format.php：split_format モディファイア（カンマ区切りの文字列を書式に当てはめて出力）
これらのファイルが実行されるのは、ダイナミックパブリッシングで公開しているページにアクセスがあり、テンプレートで上記のタグやモディファイアを使っている場合だけです。ダイナミックパブリッシングを利用していない環境では実行されません。
いずれも PHP の標準関数で文字列や JSON を変換するだけの短い処理で、外部との通信、ファイルの読み書き、コマンドの実行は行っていません。
必要な対応
Movable Type クラウド版をご利用の場合
シックス・アパート社が 2026年10月22日に PHP を 8.3.36 へ更新し、すべての環境で対応が完了しています。お客様の作業はありません。
Movable Type ソフトウェア版・AMI 版をご利用の場合
サーバーの PHP を、今回の脆弱性を修正したバージョン（8.5.12、8.4.27、8.3.36、8.2.35）へ更新してください。PHP 本体の更新は、サーバー管理者の作業になります。
PHP 8.1 以前のバージョンは PHP の公式サポートが終了しているため、新しいバージョンとしての修正版は公開されていません。ただし、PHP のセキュリティチームが PHP 7.4・8.0・8.1 向けの修正パッチを公開しているほか、OS のディストリビューションやサーバー会社が修正を取り込んだ PHP を提供している場合があります。お使いの PHP が対象かどうかは、サーバー管理者やサーバー会社にご確認ください。
ダイナミックパブリッシングを利用していない場合でも、サーバー上のほかのプログラムが PHP を使っていることがあります。PHP の利用状況は、サーバー管理者にご確認ください。
PHP の更新にあたって
同梱の PHP ファイルを PHP 7.4 から 8.5 までの各バージョンで実行し、構文エラーや警告が出ないこと、結果が PHP のバージョンによって変わらないことを確認しています。PHP を更新しても、MTAppjQuery 側で必要な作業はありません。
なお、ダイナミックパブリッシングが対応する PHP のバージョンは、Movable Type 本体の動作環境に従います。
参考情報
- [重要] PHP における脆弱性（CVE-2026-109618, CVE-2026-109619）への対応について（シックス・アパート）
- PHP 公式サイトのお知らせ（2026年10月21日のセキュリティリリース）
ご不明な点がございましたら、お問い合わせよりご連絡ください。
今後ともよろしくお願いいたします。