Movable Type: Code-Injection im Upgrade-Skript ermöglicht Remote Code Execution

Zusammenfassung

Movable Type, ein System für Blogs und Content-Management, enthält im Upgrade-Skript (mt-upgrade.cgi) eine Code-Injection-Schwachstelle. Ein nicht authentifizierter Angreifer kann dadurch aus der Ferne ein beliebiges Perl-Skript oder eine beliebige SQL-Abfrage auf dem betroffenen System ausführen, ohne sich anmelden zu müssen. Laut Hersteller liegt die Schwachstelle im Kern des Frameworks; eine verwandte SQL-Injection in der Website-Suche (CVE-2026-103668) ist im selben Release behoben.

Betroffen

• Movable Type 9.0.0 bis 9.0.9
• Movable Type 8.8.0 bis 8.8.5
• Movable Type 8.0.0 bis 8.0.12
• Movable Type Cloud Edition 9.2.0 bis 9.2.1
• Movable Type Premium 9.0.0 bis 9.0.9
• Movable Type Premium 2.0 bis 2.17
• Movable Type Premium Cloud Edition 9.2.0 bis 9.2.1
• Gemäss JVN sind auch nicht mehr unterstützte Versionen (Movable Type 8.4.x, 7.x und früher, Premium 1.x) betroffen; die genauen Bereiche für diese Versionen sind unbekannt.

Behoben in

• Movable Type 9.3.0, 9.0.10, 8.8.6, 8.0.13
• Movable Type Premium 9.3.0, 9.0.10, 2.18
• Movable Type Advanced und AMI-Edition (AWS Marketplace): 9.3.0, 9.0.10, 8.8.6, 8.0.13 laut Hersteller
• Movable Type Cloud Edition: Unbekannt (in den Quellen nicht angegeben; beim Hersteller prüfen)

Umgehung

• Bei CGI-Installationen: Webzugriff auf mt-upgrade.cgi, mt-search.cgi und mt-ftsearch.cgi blockieren oder diese Dateien löschen.
• Bei PSGI-Installationen (Movable Type 6.2 und neuer): RestrictedPSGIApp upgrade, RestrictedPSGIApp new_search und RestrictedPSGIApp ft_search in mt-config.cgi hinzufügen.
• Movable Type 6.0 und 6.1: UpgradeScript und SearchScript in mt-config.cgi auf lange, nicht vorhersehbare Werte setzen.
• Der Hersteller bezeichnet diese Massnahmen als temporär; nur ein Update behebt die Schwachstelle vollständig.

Ausnutzung

• CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung total.
• In den geprüften Quellen ist keine Ausnutzung in freier Wildbahn gemeldet; zum Zeitpunkt der Recherche nicht in der KEV-Liste.
• Kein öffentlicher Proof-of-Concept gefunden.
• Hintergrund: Für ein älteres, nicht verwandtes Upgrade-Skript-Problem von Movable Type (2013) existiert ein öffentliches Metasploit-Modul.

Unsere Empfehlung

• Alle Movable-Type-Instanzen inventarisieren, inklusive Cloud-, AMI- und nicht mehr unterstützter Versionen.
• Prioritär auf die oben genannten Versionen aktualisieren oder als Übergangsmassnahme die drei CGI-Skripte blockieren.
• Webserver-Logs seit dem 7. Oktober 2026 auf Anfragen an mt-upgrade.cgi, mt-search.cgi und mt-ftsearch.cgi prüfen.
• Datenbank und Website-Dateien auf unerwartete Änderungen oder neue Dateien kontrollieren.
• Nicht mehr unterstützte Versionen ersetzen, zum Beispiel Movable Type 8.0.x, für die der Sicherheitssupport nur bis 5. November 2026 läuft.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• JVN#91153973 (JPCERT/CC) jvn.jp
• Movable Type 9.3.0 / 9.0.10 / 8.8.6 / 8.0.13 Released (vendor, EN) movabletype.org
• Six Apart Movable Type news (vendor, JP) www.sixapart.jp
• GitHub Advisory GHSA-9xxq-384j-m3qw github.com
• OpenCVE: CVE-2026-96408 app.opencve.io
• Vulners: CVE-2026-96408 vulners.com
• Movable Type security news (vendor) www.sixapart.jp

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:05.