---
title: "Quest Foglight for Databases に認証なしでコード実行できる欠陥が 3 件（CVE-2026-92188〜92190）: いずれも CVSS v3.0 9.8、SYSTEM 権限、修正版は未確認"
url: https://n-t-p.io/worldsecurity/articles/quest-foglight-for-databases-three-unauth-rce-cve-2026-92188-92190
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月4日
updated: 2026年11月4日
severity: 緊急
cve: CVE-2026-92188, CVE-2026-92189, CVE-2026-92190
---

# Quest Foglight for Databases に認証なしでコード実行できる欠陥が 3 件（CVE-2026-92188〜92190）: いずれも CVSS v3.0 9.8、SYSTEM 権限、修正版は未確認

> **TL;DR:** Quest Foglight for Databases に、認証なしでコードを実行できる恐れのある欠陥が 3 件ある（CVE-2026-92188・92189・92190、いずれも CVSS v3.0 9.8、評価元 ZDI）。攻撃者は SYSTEM の権限で動作しうるとされる。影響版と修正版は未確認。KEV 未掲載、EPSS はデータなし。悪用の有無は未確認。

**要点**
- Quest Foglight for Databases に、認証不要でリモートからコード実行の恐れがある欠陥が 3 件ある（CVE-2026-92188・92189・92190）。
- 3 件とも CVSS v3.0 は 9.8（AV:N・AC:L・PR:N、評価元 ZDI）。NVD の状態は Received で、NVD の評価はまだない。
- 原因は、認証の欠如（CWE-306）、パスの外部制御（CWE-73）、信頼できないデータの復元（CWE-502）。SYSTEM の権限で実行されうる。
- 影響版と修正版は未確認。KEV には載っておらず、EPSS はデータなし。
- 悪用の有無・PoC・3 件の関係は未確認。

Quest Foglight for Databases（データベース監視製品）について、認証なしのリモートの攻撃者が任意のコードを実行できる恐れがある欠陥 3 件（CVE-2026-92188・92189・92190）が、2026-11-04 に NVD に登録されました。届け出はいずれも Trend Micro の Zero Day Initiative（ZDI）です。

## 3 件の内訳
| CVE | 問題の箇所 | 種類（CWE） | ZDI 勧告 |
|---|---|---|---|
| CVE-2026-92188 | ForgeMBeanServerSupport モジュール | 重要な機能に対する認証の欠如（CWE-306） | ZDI-26-854 |
| CVE-2026-92189 | writeTopologySectionToFile メソッド | ファイル名やパスの外部制御（CWE-73） | ZDI-26-861 |
| CVE-2026-92190 | baseRmiServiceExporter bean の設定 | 信頼できないデータの復元（CWE-502） | ZDI-26-851 |

## 何が起きるか
- 92188: 機能へのアクセスを許す前に認証を求めないため、認証なしで機能を呼び出せます。
- 92189: 利用者が渡したパスを検証せずにファイル操作で使います。
- 92190: 利用者が渡したデータを検証せずに復元（デシリアライズ）します。
- 3 件とも、NVD の説明では、認証は不要で、攻撃者は SYSTEM の権限でコードを実行できる恐れがあります。
- 影響を受ける版の記載は、NVD の説明文にありません。

## 数値と severity
- 3 件とも CVSS v3.0 は 9.8（CRITICAL）、評価元は ZDI（Secondary）です。ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H で、ネットワークから、権限も利用者の操作も不要です。
- NVD の状態は 3 件とも Received（2026-11-04 時点）で、NVD 自身の評価はまだありません。
- 認証が不要で CVSS が 9 以上のため、severity は critical とします。
- FIRST の EPSS は 3 件ともデータなし（算出前）。CISA の KEV には載っていません。

## 対策
- 提供元（Quest）の案内を確かめ、修正版や回避策が出ていれば適用する。修正版の有無は本稿では確認していません。
- Foglight の管理サーバーをインターネットから直接見える場所に置かない。ファイアウォールや VPN で、信頼できる接続元だけに絞る。
- RMI や JMX のポートなど、管理用の通信を使わない経路は閉じる。どのポートが対象かは未確認のため、自社の設定で確かめる。
- 管理サーバーへの不審な接続や、サービスの異常終了、想定外のファイル作成がないか、ログを確かめる。

## 未確認の点
- 影響を受ける版と、修正版の有無・番号。
- 実際に悪用されているか、規模はどの程度か。
- 概念実証（PoC）が公開されているか。
- 3 件を組み合わせて使えるか。それぞれ別の入口か。
- 参照先の勧告（ZDI-26-854・861・851）の中身。本稿では開いていません。
- NVD の最終評価と EPSS。

## 出典
- NVD: CVE-2026-92188、CVE-2026-92189、CVE-2026-92190
- Zero Day Initiative: ZDI-26-854、ZDI-26-861、ZDI-26-851
- FIRST EPSS（3 件ともデータなし）


## 出典
- [NVD CVE-2026-92188](https://nvd.nist.gov/vuln/detail/CVE-2026-92188) — NIST NVD
- [NVD CVE-2026-92189](https://nvd.nist.gov/vuln/detail/CVE-2026-92189) — NIST NVD
- [NVD CVE-2026-92190](https://nvd.nist.gov/vuln/detail/CVE-2026-92190) — NIST NVD
- [ZDI-26-854](https://www.zerodayinitiative.com/advisories/ZDI-26-854/) — Zero Day Initiative
- [ZDI-26-861](https://www.zerodayinitiative.com/advisories/ZDI-26-861/) — Zero Day Initiative
- [ZDI-26-851](https://www.zerodayinitiative.com/advisories/ZDI-26-851/) — Zero Day Initiative
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-92188,CVE-2026-92189,CVE-2026-92190) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/quest-foglight-for-databases-three-unauth-rce-cve-2026-92188-92190