Quest Foglight for Databases に認証なしでコード実行できる欠陥が 3 件（CVE-2026-92188〜92190）: いずれも CVSS v3.0 9.8、SYSTEM 権限、修正版は未確認

Quest Foglight for Databases（データベース監視製品）について、認証なしのリモートの攻撃者が任意のコードを実行できる恐れがある欠陥 3 件（CVE-2026-92188・92189・92190）が、2026-11-04 に NVD に登録されました。届け出はいずれも Trend Micro の Zero Day Initiative（ZDI）です。

3 件の内訳

CVE	問題の箇所	種類（CWE）	ZDI 勧告
CVE-2026-92188	ForgeMBeanServerSupport モジュール	重要な機能に対する認証の欠如（CWE-306）	ZDI-26-854
CVE-2026-92189	writeTopologySectionToFile メソッド	ファイル名やパスの外部制御（CWE-73）	ZDI-26-861
CVE-2026-92190	baseRmiServiceExporter bean の設定	信頼できないデータの復元（CWE-502）	ZDI-26-851

何が起きるか

• 92188: 機能へのアクセスを許す前に認証を求めないため、認証なしで機能を呼び出せます。
• 92189: 利用者が渡したパスを検証せずにファイル操作で使います。
• 92190: 利用者が渡したデータを検証せずに復元（デシリアライズ）します。
• 3 件とも、NVD の説明では、認証は不要で、攻撃者は SYSTEM の権限でコードを実行できる恐れがあります。
• 影響を受ける版の記載は、NVD の説明文にありません。

数値と severity

• 3 件とも CVSS v3.0 は 9.8（CRITICAL）、評価元は ZDI（Secondary）です。ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H で、ネットワークから、権限も利用者の操作も不要です。
• NVD の状態は 3 件とも Received（2026-11-04 時点）で、NVD 自身の評価はまだありません。
• 認証が不要で CVSS が 9 以上のため、severity は critical とします。
• FIRST の EPSS は 3 件ともデータなし（算出前）。CISA の KEV には載っていません。

対策

• 提供元（Quest）の案内を確かめ、修正版や回避策が出ていれば適用する。修正版の有無は本稿では確認していません。
• Foglight の管理サーバーをインターネットから直接見える場所に置かない。ファイアウォールや VPN で、信頼できる接続元だけに絞る。
• RMI や JMX のポートなど、管理用の通信を使わない経路は閉じる。どのポートが対象かは未確認のため、自社の設定で確かめる。
• 管理サーバーへの不審な接続や、サービスの異常終了、想定外のファイル作成がないか、ログを確かめる。

未確認の点

• 影響を受ける版と、修正版の有無・番号。
• 実際に悪用されているか、規模はどの程度か。
• 概念実証（PoC）が公開されているか。
• 3 件を組み合わせて使えるか。それぞれ別の入口か。
• 参照先の勧告（ZDI-26-854・861・851）の中身。本稿では開いていません。
• NVD の最終評価と EPSS。

出典

• NVD: CVE-2026-92188、CVE-2026-92189、CVE-2026-92190
• Zero Day Initiative: ZDI-26-854、ZDI-26-861、ZDI-26-851
• FIRST EPSS（3 件ともデータなし）