CVE-2026-117687CVSS 6.9动态发布中的 PHP 代码注入
特制请求可经受影响的模板处理执行 PHP。JVN 给出的 CVSS 4.0 评分为 6.9，CVSS 3.0 为 7.3。
特制请求可让 Movable Type 动态发布功能执行 PHP
未认证请求可使受影响的 Movable Type 动态发布站点执行 PHP。Six Apart 已发布 8.8.7、8.0.14 及 Premium 2.19。Movable Type 9 不在公告影响范围内。
- 披露时间
- 2026年11月11日
- 公开披露日期
- 严重程度
- CVSS 6.9
- 本页收录 1 个 CVE
- 波及范围
- 启用受影响动态发布配置的 Movable Type 8.8、8.0、Premium 2.x 以及停止支持的 8.4 和 7 站点。
- Movable Type · CMS · RCE
- 在野利用
- 未知
发生了什么
受影响模板可能执行某些标签、mteval 修饰符或错误页处理产生的 PHP。该请求路径适用于动态发布。JVN 列出各自分支中的 Movable Type 8.8.6、8.0.13 及更早版本（含 Advanced），以及 Premium 2.x 中的 2.18 及更早版本（含 Advanced Edition）。已停止支持的 8.4 和 7 同样受影响。两份公告均未确认在野利用。
Six Apart 在 8.8.7 和 8.0.14 的发布说明中均列出包含例外。这两个版本也是 Premium 2.19 的构建基础。通过 MTInclude、MTIncludeBlock、MTWidgetSet 或 MTWidgetManager 加载的内容，在启用对应的服务端包含设置时仍可执行其中的 PHP。若站点的包含方式为 PHP，且 MTInclude 或 MTIncludeBlock 使用 ssi="1"，同样适用。8.8.7 发布说明特别提醒，更新后即使设置 DynamicTemplateAllowPHP 0，这些例外仍可能执行 PHP。更新也保留了直接写入模板的 PHP 的原有处理方式。请在实际部署的构建上核查设置和行为。
马桶里有什么
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| Movable Type and Advanced 8.8 | 8.8.7 | |
| Movable Type and Advanced 8.0 | 8.0.14 | 停止支持后例外提供修复 |
| Movable Type Premium and Advanced Edition | 2.19 | |
| Movable Type 8.4 and 7 | 无修复 | 已停止支持 |
案发时间线
2026年11月11日
Six Apart 与 JVN 公布漏洞和修复版本
Six Apart 发布 8.8.7、8.0.14 及 Premium 2.19，并说明 PHP 处理行为的差异。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Six Apart 安全更新公告一手来源确认三个发布版本、8.0 的例外修复及模板行为。
- JVN 协调披露一手来源说明受影响的产品、远程请求前提、评分及临时配置建议。
- Six Apart 8.8.7 发布说明一手来源说明更新后仍可执行 PHP 的具体包含例外。