CVE-2026-25776 : injection Perl critique dans Movable Type

Les faits

La vulnérabilité CVE-2026-25776, publiée le 8 avril 2026, affecte Movable Type, le système de gestion de contenu (CMS) développé par l'éditeur japonais Six Apart Ltd. Avec un score CVSS de 9.8 sur 10, cette faille se classe parmi les plus critiques recensées cette année sur un CMS d'entreprise. Référencée en interne sous l'identifiant MTC-31204, elle trouve son origine dans le mécanisme de filtrage du Listing Framework, où une validation insuffisante des paramètres transmis autorise l'injection de code Perl arbitraire. Un attaquant non authentifié peut ainsi exécuter des commandes à distance sur le serveur hébergeant l'application, avec les privilèges du processus web. Compromission complète du site, vol de données et déploiement de portes dérobées figurent parmi les conséquences directes. Cet article détaille le fonctionnement de la faille, son périmètre d'exposition et les mesures correctives à appliquer sans délai.

Contrairement à une injection de commandes classique qui ciblerait le système d'exploitation, cette vulnérabilité exploite spécifiquement l'interpréteur Perl sous-jacent de Movable Type. Un attaquant distant et non authentifié peut soumettre des données spécialement conçues qui seront évaluées dynamiquement comme du code Perl par le moteur de filtrage. Six Apart Ltd. a publié les correctifs le même jour sous forme de mises à jour de sécurité : Movable Type 9.0.7, 8.8.3 et 8.0.10. L'advisory officiel confirme la criticité maximale de cette faille et recommande une application immédiate des correctifs.

Movable Type reste largement utilisé dans les environnements d'entreprise, notamment au Japon et en Asie, mais également dans de nombreuses organisations occidentales qui n'ont pas encore migré vers des CMS plus récents. La présence de cette faille dans le Listing Framework, un composant central du CMS, élargit considérablement la surface d'attaque. Cette situation rappelle les injections critiques récentes dans d'autres plateformes web comme GitLab.

Impact et exposition

Toute instance de Movable Type exposée sur Internet et utilisant une version vulnérable est à risque immédiat. L'exploitation ne requiert aucune authentification préalable, ce qui signifie que n'importe quel attaquant ayant accès au frontend du CMS peut potentiellement déclencher l'exécution de code. L'impact d'une exploitation réussie est une compromission complète du serveur : lecture de fichiers de configuration contenant les identifiants de base de données, modification du contenu du site, installation de webshells, et potentiellement pivot vers d'autres systèmes du réseau interne. Les organisations qui hébergent Movable Type sur des serveurs mutualisés exposent également les autres sites hébergés sur la même infrastructure. Aucune exploitation active n'a été confirmée publiquement, mais la criticité du score CVSS et la publication des détails techniques rendent une exploitation probable à court terme.

Recommandations immédiates

• Appliquer immédiatement le correctif correspondant à votre branche : Movable Type 9.0.7, 8.8.3 ou 8.0.10 — advisory Six Apart Ltd. Security Bulletin MTC-31204
• Si la mise à jour est impossible dans l'immédiat, restreindre l'accès au backend Movable Type via des règles de pare-feu ou une authentification HTTP additionnelle au niveau du serveur web
• Auditer les logs d'accès Apache/Nginx pour détecter des requêtes anormales ciblant les endpoints du Listing Framework
• Vérifier l'intégrité des fichiers du CMS en comparant avec une installation propre pour détecter d'éventuels webshells
• Scanner les bases de données pour identifier toute modification suspecte du contenu

Analyse technique du vecteur d'exploitation

Le Listing Framework de Movable Type sert à générer dynamiquement les pages de listing d'entrées (archives, catégories, recherche). Techniquement, la faille provient d'une fonction de filtrage qui évalue certains paramètres transmis via des balises de template (MTEntries, MTSearch) sans neutraliser correctement les métacaractères Perl (@{[ ]}, ${}). Un attaquant peut ainsi injecter une charge utile qui sera interprétée par eval() côté serveur, aboutissant à une exécution de code arbitraire (RCE) avec les privilèges du processus web — généralement l'utilisateur exécutant le CGI ou le service mt-run.cgi. Ce type de faille, proche d'un Server-Side Template Injection (SSTI) adapté à l'écosystème Perl, est particulièrement dangereux car il ne nécessite ni compte utilisateur ni interaction, contrairement à des CVE précédentes de Movable Type qui exigeaient souvent un accès à l'interface d'administration.

Versions concernées et correctifs

• Movable Type 9.x : vulnérable de 9.0 à 9.0.6 inclus — corrigé en 9.0.7
• Movable Type 8.8.x : vulnérable de 8.8.0 à 8.8.2 inclus — corrigé en 8.8.3
• Movable Type 8.0.x : vulnérable de 8.0 à 8.0.9 inclus — corrigé en 8.0.10
• Les branches antérieures (7.x et versions non maintenues) ne bénéficient d'aucun correctif officiel et doivent être considérées comme définitivement exposées.

Détection et journalisation

En l'absence de correctif immédiat possible, un contrôle compensatoire consiste à filtrer au niveau du reverse proxy ou du WAF les requêtes contenant des séquences suspectes de type @{[, ${ ou des appels à des fonctions Perl (system, exec, open) dans les paramètres GET/POST transmis au Listing Framework. Les administrateurs doivent également auditer les journaux d'accès pour repérer des requêtes anormalement longues ou encodées vers les URL de recherche et d'archives, signe potentiel de tentatives d'exploitation antérieures au déploiement du correctif.