漏洞概述 该公告涉及 Movable Type 内容管理系统中 Listing Framework（用于管理后台 和 Data API 的框架）的两个安全漏洞： 1. 远程代码执行 (RCE)：在过滤器处理过程中，允许执行任意 Perl 代码。 CVE ID: CVE-2026-25776 (MTC-31204) 2. SQL 注入 (SQL Injection)：在请求处理过程中，允许执行任意 SQL 语句。 CVE ID: CVE-2026-33088 (MTC-31212) 影响范围 受影响的版本包括： Movable Type / Movable Type Advanced: 9.1.0 及更早版本 (9.1 系) 9.0.6 及更早版本 (9.0 系) 8.8.2 及更早版本 (8.8 系) 8.0.9 及更早版本 (8.0 系) Movable Type Premium / Movable Type Premium Advanced Edition: 9.1.0 及更早版本 (9.1 系) 9.0.6 及更早版本 (9.0 系) 2.14 及更早版本 (2.1 系 / 8.8 系) 已停止支持 (EOL) 的版本: Movable Type 5.1 - 5.18, 5.2 - 5.2.13, 6.0 - 6.8.8, 7.1.4207 - 7.5510, 8.4.0 - 8.4.4 Movable Type Premium 1.0 - 1.68 修复方案 1. 升级版本（推荐）: 升级到已修复的安全版本，包括： Movable Type 9.1.1, 9.0.7, 8.8.3, 8.10.0 Movable Type Premium 9.1.1, 9.0.7, 2.15 2. 临时规避措施: 如果无法立即升级，建议限制 Data API 的访问权限。具体配置方法请参考官方发布的《Movable Type セキュリティ対策ガイド》（Movable Type 安全对策指南）。 3. 获取更新: 软件版: 从 Shikaku/Abart 用户网站下载最新版。 云版: 自动更新已启用。 AMI 版: 参考 AWS Marketplace 页面进行更新。 个人版: 重新下载个人版安装包。