CVE-2026-20967

IMMEDIATE ACTIONS:

1. Identify all System Center Operations Manager 2019 deployments in your environment

2. Restrict network access to SCOM management servers to authorized personnel only

3. Review and audit all user accounts with SCOM administrative privileges

4. Enable enhanced logging on SCOM servers to detect privilege escalation attempts



PATCHING GUIDANCE:

1. Apply the latest security update for SCOM 2019 immediately (prioritize over other updates)

2. Test patches in non-production environment first

3. Schedule patching during maintenance windows to minimize operational impact

4. Verify patch installation using Microsoft's verification tools



COMPENSATING CONTROLS (if patching delayed):

1. Implement network segmentation to isolate SCOM infrastructure

2. Deploy multi-factor authentication for SCOM administrative access

3. Monitor for suspicious privilege escalation attempts using Windows Event Logs (Event ID 4672, 4673)

4. Implement principle of least privilege - remove unnecessary administrative roles

5. Use Windows Defender for Endpoint to monitor SCOM processes



DETECTION RULES:

1. Monitor for unexpected privilege elevation in SCOM audit logs

2. Alert on failed authentication attempts to SCOM management servers

3. Track modifications to SCOM user roles and permissions

4. Monitor network connections from SCOM servers to unexpected destinations

الإجراءات الفورية:

1. تحديد جميع نشرات System Center Operations Manager 2019 في بيئتك

2. تقييد الوصول إلى خوادم إدارة SCOM للموظفين المصرح لهم فقط

3. مراجعة وتدقيق جميع حسابات المستخدمين التي تتمتع بامتيازات إدارية في SCOM

4. تفعيل السجلات المحسنة على خوادم SCOM للكشف عن محاولات رفع الامتيازات



إرشادات التصحيح:

1. تطبيق أحدث تحديث أمني لـ SCOM 2019 فوراً (الأولوية على التحديثات الأخرى)

2. اختبار التصحيحات في بيئة غير الإنتاج أولاً

3. جدولة التصحيح خلال نوافذ الصيانة لتقليل التأثير التشغيلي

4. التحقق من تثبيت التصحيح باستخدام أدوات التحقق من Microsoft



الضوابط البديلة (إذا تأخر التصحيح):

1. تنفيذ تقسيم الشبكة لعزل البنية التحتية SCOM

2. نشر المصادقة متعددة العوامل للوصول الإداري SCOM

3. مراقبة محاولات رفع الامتيازات المريبة باستخدام سجلات أحداث Windows

4. تطبيق مبدأ أقل امتياز - إزالة الأدوار الإدارية غير الضرورية

5. استخدام Windows Defender للنقطة الطرفية لمراقبة عمليات SCOM



قواعد الكشف:

1. مراقبة رفع الامتيازات غير المتوقعة في سجلات تدقيق SCOM

2. التنبيه على محاولات المصادقة الفاشلة لخوادم إدارة SCOM

3. تتبع التعديلات على أدوار وأذونات مستخدمي SCOM

4. مراقبة الاتصالات الشبكية من خوادم SCOM إلى وجهات غير متوقعة