それを受けてか、当ブログのレンタルサーバーであるCORESERVERにも深夜のメンテナンスが入りました。

メンテナンス実施日時
2026.10.22 00:00 ～ 2026.10.22 00:50
【PHP脆弱性：CVE-2026-109618/CVE-2026-109619】の対応（CORESERVER V1）【完了】

あまり詳しくは書かれていませんが、内容からしてPHP 8.5.12／8.4.27／8.3.36／8.2.35への更新作業でしょう。

そんなにやばいのか、と今のPHPバージョンを確認してみたところ7.1でした。マジか。

　

早急にバージョンアップが必要

なぜこんなに古いのかというと、ブログシステムであるMovable Typeのバージョンが古いままだったから。

今調べたら2023年リリースのバージョンでした。もちろんサポート終了済。

2021年末に乗っ取られて以来、特に脆弱性はなかったので放置してました（懲りないね君）

しかも今回の件を調べていく中で、2026年10月7日にMovable Typeの脆弱性が発表されていたことに気づきました。

次の製品が対象です。
Movable Type 9.2.1およびそれ以前（9.2系、クラウド版のみ）
Movable Type 9.0.9およびそれ以前（9.0系、Advanced 含む）
Movable Type 8.8.5およびそれ以前（8.8系、Advanced 含む）
Movable Type 8.0.12およびそれ以前（8.0系、Advanced 含む）
Movable Type Premium 9.2.1およびそれ以前（9.2系、クラウド版のみ）
Movable Type Premium 9.0.9およびそれ以前（9.0系、Advanced 含む）
Movable Type Premium 2.17およびそれ以前（2系、Advanced 含む）
注釈：サポートが終了したMovable Type 8.4系、7系およびそれ以前のバージョン、Movable Type Premium 1系も本脆弱性の影響を受けます。

「Movable Type」における複数の脆弱性について（JVN#91153973） | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構

これはやばい、ということで最新版に更新することに。

　

Movable Typeの更新

更新自体は過去に何度もやっているのでそこまで苦労せず。

こちらから最新版のファイルをダウンロードして、ドキュメントのとおりファイルのアップロードするだけ。

cgiファイルのパーミッションが644だったので700に変えたら簡単に最新バージョンの9.3.0まで更新できました。

ただ毎回の問題として絵文字が文字化けしてしまう・・・。

• 今更ですがUnicode絵文字に対応しました😤 - 7MC.ORG

過去にも苦労して対応したのですが、最新版なら普通に絵文字対応しているはずなのに...🤔

　

絵文字対応の苦労再び

仕方がないのでGeminiに相談してみると、mt-config.cgiに

DBIConnectOptions mysql_enable_utf8mb4=1

を追加するといいと言われたり（ダメでした）

extlib/Data/ObjectDriver/Driver/DBD/mysql.pmのinit_db関数に

$dbh->do("SET NAMES 'utf8mb4'");

を追加したらいいと言われたり（そんな関数はない）

今度はlib/MT/DB/MySQL.pmを変更しろと言われたり（そんなファイルはない）

ずいぶんと遠回りをさせられた挙句、mt-config.cgiに下記を追加すればOKでした。

SQLSetNames 0
DBSource dbi:mysql:database=db_name;host=localhost;mysql_enable_utf8mb4=1

途中、GeminiにDBパスワードを漏らしてしまい変更する羽目になったり、ドタバタしたものの何とか更新完了。

　

PHPを8.5に切り替え

PHPの更新はCORESERVERの管理画面にて7.1から8.5に変更するだけでOK。

バージョンを確認したところ8.5.12になっていたため、今回問題になった分はクリアしたことになります。

次はいつになることやら・・・。