Foglight for Databasesに脆弱性3件、修正版あり
Quest Foglight for Databasesに、認証なしでSYSTEM権限のコード実行に至る脆弱性が3件公表されました。データベース監視にこの製品を使う組織は、版を確認してFoglight 8.3への更新を進めてください。
同じ発表の脆弱性 3 件
- CVE-2026-92188 重大 9.8
- CVE-2026-92189 重大 9.8
- CVE-2026-92190 重大 9.8
急ぎ度: 至急
3件とも認証なしでネットワーク越しにSYSTEM権限のコード実行に至るCVSS v3は9.8で、修正版が出ているためです。
関係があるか
Foglight for Databasesの管理サーバーを立て、社内のデータベースを監視している組織が対象です。管理サーバーにネットワークから届く範囲が広いほど、影響を受けやすくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Quest Foglight for Databases | 8.2.0がCVE記録で影響ありと明記されています。8.2.0より前の版については記載がないため、Questの告知で確認してください。 | Foglight 8.3。ZDI-26-854（CVE-2026-92188）に記載があります。CVE-2026-92189とCVE-2026-92190も同じ版で修正されるかは、Questの告知で確認してください。 |
確かめ方
- 1Foglightの管理画面やインストール先の情報で、稼働中の版を確認します。
- 2資産台帳や構成管理ツールで、Foglight for Databasesを入れたサーバーが社内に何台あるかを洗い出します。
- 3それらのサーバーに、どのネットワークや端末から届くかをファイアウォールの設定で確認します。
何が起きたか
Quest Foglight for Databasesに、リモートからコードを実行されるおそれのある脆弱性が3件見つかりました。悪用されると、Foglightが動いているサーバー上でSYSTEM権限の任意コードが実行されます。3件とも深刻度はcriticalで、CVSS v3は9.8です。
- CVE-2026-92188: ForgeMBeanServerSupportモジュールが、認証を確認しないまま機能へのアクセスを許し、コード実行に至ります（CVSS v3は9.8、CWE-306）
- CVE-2026-92189: writeTopologySectionToFileメソッドが、利用者の指定したパスを十分に検証せずファイル操作に使い、コード実行に至ります（CVSS v3は9.8、CWE-73）
- CVE-2026-92190: baseRmiServiceExporterの設定により、受け取ったデータを検証せずにデシリアライズし、コード実行に至ります（CVSS v3は9.8、CWE-502）
ZDIは2026年4月30日にQuestへ報告し、2026年11月3日に調整済みの公開を行いました。
攻撃の流れ
-
1
管理サーバーに到達
攻撃者がFoglightの管理サーバーにネットワーク経由で通信できる位置に入ります。
-
2
認証なしで接続
ログインを求められないまま、脆弱な機能に要求を送ります。
-
3
不正な入力を処理
認証の欠如、パスの未検証、データの未検証のいずれかを突かれ、想定外の処理が走ります。
-
4
SYSTEM権限で実行
攻撃者のコードがSYSTEM権限で動き、サーバーを自由に操作できる状態になります。
どう悪用されるか
3件とも、認証は不要です。攻撃者はネットワーク越しに管理サーバーへ届きさえすればよく、攻撃の複雑さは低いとされています。CVE-2026-92188のCVSSベクターでは、利用者の操作も要りません。CVE-2026-92189とCVE-2026-92190も認証不要と説明され、CVSSは同じ9.8です。
条件が実質同じなので、3件の違いは入口の種類にとどまります。認証の抜け、パスの検証不足、受信データの検証不足という違いで、どれかひとつが突かれれば足ります。
悪用されると、SYSTEM権限でコードを実行され、機密性・完全性・可用性のすべてが大きく損なわれます。管理サーバーそのものを乗っ取られる状態です。
今すぐやること
-
1
稼働中の版を確認する
Foglight for Databasesを入れたサーバーをすべて洗い出し、版を確認します。8.2.0は影響ありと明記されています。それ以外の版は、Questの告知で影響の有無を確かめてください。
-
2
Foglight 8.3に更新する
修正版はFoglight 8.3です。更新の前に、CVE-2026-92189とCVE-2026-92190の修正がこの版に含まれるかを、Questの告知で確かめておくと安心です。
-
3
更新までの間、到達できる範囲を絞る
すぐに更新できないサーバーは、管理用の端末やネットワークからの通信だけを許可します。インターネット側から届く経路があれば、最優先で閉じます。
-
4
不審な痕跡がないか調べる
公表から日が浅いため、大半は未適用の段階でしょう。ただし、管理サーバーに身に覚えのないプロセス、ファイルの作成、外部からの接続がないかを、ログと合わせて確認してください。
すぐ更新できないとき
ベンダーが示した回避策は確認できていません。つなぎとして、Foglightの管理サーバーへの通信を、管理用ネットワークと必要な端末だけに限定してください。外部公開しているなら、公開を止めるか、VPNなどの背後に移します。ただし、この措置は到達できる範囲を狭めるだけで、脆弱性そのものは残ります。
背景
Foglight for Databasesは、Questのデータベース性能監視製品です。複数のデータベースの状態を管理サーバーで集めて見るため、社内のデータベース運用の中心に置かれることが多く、監視のために各データベースへの接続情報を持つ構成も珍しくありません。管理サーバーを奪われると、監視対象の側にも影響が広がるおそれがあります。
今回の3件のうち、CVE-2026-92190のデシリアライズ（受け取ったデータをオブジェクトに戻す処理）は、Javaを使うアプリケーションでよく知られた型の脆弱性です。信頼できない入力を検証せずに戻すと、コード実行に至ることがあります。3件が同時に報告された点を見ると、この製品の管理用の機能が外部からの入力を受け付ける部分は、広めに点検する必要がありそうです。
よくある質問
Q.3件とも同じCVSSですが、優先順位はつけますか。
Q.監視対象のデータベース側にも更新は必要ですか。
まだ分かっていないこと
- 実際の攻撃での悪用や、攻撃コードの公開があるかは、ZDIの公表文に書かれていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Quest Foglight for Databases ForgeMBeanServerSupport Missing Authentication Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Quest Foglight for Databases. Authentication is not required to exploit this vulnerability.
The specific flaw exists within the ForgeMBeanServerSupport module. The issue results from the lack of authentication prior to allowing access to functionality. An attacker can leverage this vulnerability to execute code in the context of SYSTEM. Was ZDI-CAN-29168.
出典: Zero Day Initiative Published Advisories NVD GitHub Advisory