シックス・アパートが「Movable Type」の脆弱性を狙う攻撃による被害の確認で注意喚起

ブログ・CMS(コンテンツ管理システム)と関連サービスのシックス・アパートは、同社のCMS製品「Movable Type」の脆弱(ぜいじゃく)性を狙う攻撃による被害が確認されているとして、12月14日に注意喚起を行った。現在Movable Typeを利用していなくてもサーバーにインストールしたままになっていると、攻撃が成功する可能性があるといい、対策を求めている。

対象の製品は、Movable Typeの7 r.4201-r.5002▽6.0.0-6.8.2▽5.0-5.2▽4.0-4.381▽Advanced7 r.4501-r.5002▽Advanced5.0.-6.8.2▽Premium(Advanced)1.0-1.46。これらを使っている場合は、対策済みのMovable Type最新版へのアップデートを呼び掛けた。アップデートが難しい時はXMLRPC APIへのアクセスを制限する(APIを削除するなど)ことで対処できる。

対策を施す前に攻撃を受けていることもあるため、サーバー上に不審なファイルがないか、ログに不審な形跡がないか確認が必要。Movable Typeを利用していないケースではサーバーからの削除を求めている。Movable Typeクラウド版は対策が完了。MovableType.netは影響がない。攻撃は11月初めから観測され、サイト閲覧に影響が出る被害が複数件起きている。