1. [Wiki](https://feex.it/wiki/)
2. [Processus](https://feex.it/wiki/process/)
3. [Processus d'application](https://feex.it/wiki/process/application/)
4. powershell.exe

# powershell.exe

Processus d'application: Microsoft Corporation

Termes de recherche du catalogue powershell, windows powershell

Windows, Application

Windows PowerShell 5.1. pwsh.exe est PowerShell 7. Ils peuvent tous les deux être présents. La fenêtre de console est souvent conhost.exe.

## Ce que vous devez savoir

Il s'agit de Windows PowerShell 5.1. Le script sur la ligne de commande constitue le risque, pas le nom de l'hôte.

powershell.exe est Windows PowerShell. pwsh.exe est le PowerShell plus récent. conhost.exe dessine la fenêtre. Un powershell.exe masqué issu d'une macro Word relève d'une analyse de ligne de commande.

- **Sûr ?**: Vérifiez l'emplacement, la signature et l'éditeur du fichier en cours d'exécution. Le nom seul ne permet pas d'établir la sécurité.

  **Identique à pwsh ?**: Non. pwsh est PowerShell 7

  **Pourquoi conhost est-il présent ?**: C'est la fenêtre de la console

Feex précise

Je ne qualifie jamais powershell.exe de logiciel malveillant simplement parce qu'il s'exécute. Je lis la ligne de commande. Un hôte signé qui lance un script Temp est le problème.

## Qu'est-ce que powershell.exe ?

powershell.exe est Windows PowerShell 5.1, fourni avec Windows. Ce n'est pas pwsh.exe, que vous installez en tant que PowerShell 7 depuis Microsoft.

## Que fait-il ?

Il exécute des scripts et des cmdlets. La stratégie d'exécution peut bloquer les scripts locaux non signés. Un paramètre de contournement (bypass) sur la ligne de commande est suspect si vous ne l'avez pas saisi.

## Pourquoi s'exécute-t-il ?

Vous avez ouvert une invite, une tâche planifiée ou un programme d'installation a lancé un script. Les logiciels malveillants sans fichier utilisent également cet hôte. Le chemin associé à la ligne de commande détermine la situation.

## Inspecter l'instance en cours d'exécution

Dans Windows PowerShell, cette requête en lecture seule liste les ID de processus correspondants, les heures de création et les chemins d'accès exécutables sur ce PC.

`Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List`

Aucun résultat ou un chemin inaccessible est non concluant. Les processus protégés peuvent restreindre l'accès, et les ID de processus peuvent être réutilisés. Gardez les chemins personnels locaux.

Utilisez le [guide d'identification de fichier](https://feex.it/wiki/l/fr/software/system/verify-executable-path-signature/) pour comparer les signatures et les métadonnées du produit. Un nom de fichier seul ne peut pas établir la sécurité.

## Est-il sûr ?

L'hôte est légitime. Le script pose question

Le fichier powershell.exe dans System32 ou SysWOW64 est l'hôte Windows. La sécurité dépend du processus parent et de la ligne -Command / -EncodedCommand. Les jugements basés uniquement sur le nom de fichier échouent ici.

Comparez l'emplacement enregistré avec le fichier réel. Un dossier familier seul n'établit pas l'identité.

`C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe`

- PowerShell 7 est pwsh.exe
- L'hôte 32 bits réside sous SysWOW64
- Lisez toujours les arguments

## Puis-je l'arrêter ?

Arrête ce script

Mettre fin à powershell.exe interrompt cette session. Si une tâche le redémarre, identifiez la tâche. Mettre fin à conhost.exe ne fait que fermer la fenêtre.

## Puis-je le supprimer ?

Non

Ne supprimez pas powershell.exe. Restreignez l'exécution des scripts par stratégie s'il s'agit d'un PC verrouillé. La maintenance de Windows a besoin de cet hôte.

## Doit-il démarrer avec Windows ?

Un PowerShell au démarrage avec une fenêtre masquée relève d'un contrôle de persistance. Un raccourci interactif que vous avez créé ne pose pas de problème.

## Mesurer l'utilisation des ressources

| CPU et mémoire   | Comparez plusieurs observations pour le même PID et la même charge de travail. Cette entrée n'a pas de base universelle mesurée indépendamment.            |
| ---------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Disque et réseau | Attribuez l'activité au processus réel et à la tâche en cours ; un nom de fichier seul n'établit pas les destinations attendues ni le volume de transfert. |

## Informations sur le fichier

| Nom de l'exécutable              | powershell.exe                                                                         |
| -------------------------------- | -------------------------------------------------------------------------------------- |
| Chemin d'installation enregistré | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe                              |
| Éditeur                          | Microsoft Corporation                                                                  |
| Vérification de la signature     | Inspectez le fichier réel ; cette entrée ne certifie pas l'identité de son certificat. |

## Problèmes courants

### EncodedCommand à l'ouverture de session

Copiez la ligne et décodez-la dans un éditeur sécurisé. C'est cela la charge utile, pas « PowerShell est un virus ».

### Confondu avec cmd

Les fichiers de commandes sont associés à cmd.exe. Les profils PowerShell constituent un fichier de démarrage différent.

## Dépannage

Diagnostiquez avant d'effectuer toute modification destructive.

### Inspecter le PID parent

winword qui lance powershell relève d'une macro Office. explorer qui le lance après que vous avez cliqué sur un raccourci, c'est vous.

### Ne désactivez pas PowerShell pour arrêter un seul script

Supprimez la tâche ou le document. L'hôte est un outil.

## Détails techniques

Détails techniques

| Nom de l'image | powershell.exe          |
| -------------- | ----------------------- |
| Élément frère  | pwsh.exe (PowerShell 7) |

## Vérifier l'identité d'un fichier en cours d'exécution

Un nom de fichier seul ne peut pas établir la sécurité. Vérifiez le chemin réel, la signature et l'identité du produit.

## Associé

Ces entités sont liées à cet article. Le type est affiché sur chaque lien.

[Windows PowerShell: Application](https://feex.it/wiki/l/fr/software/windows-powershell/)[cmd.exe: Processus d'application](https://feex.it/wiki/l/fr/process/cmd.exe/)[conhost.exe: Processus Windows](https://feex.it/wiki/l/fr/process/conhost.exe/)[Vérifiez un chemin d'accès exécutable et une signature numérique: Guide](https://feex.it/wiki/l/fr/software/system/verify-executable-path-signature/)[Lire le Gestionnaire des tâches et comparer l'activité des processus: Guide](https://feex.it/wiki/l/fr/software/system/how-to-read-task-manager/)[Processus d'application: Catégorie](https://feex.it/wiki/process/application/)

## Sources et vérification

Mention de la source enregistrée : août 2026. Cette mention n'établit pas de vérification indépendante. [Notre méthodologie de recherche](https://feex.it/wiki/research/).

- [Microsoft Learn : PowerShell ](https://learn.microsoft.com/powershell/scripting/overview)· Windows PowerShell et pwsh
- [Microsoft Learn : conhost ](https://learn.microsoft.com/windows/console/console-host)· Hôte de fenêtre de console
- [Carte des processus Foxhole ](https://foxhole.feex.it/)· Échantillons internes sur des PC Windows. Ceci n'est pas un benchmark de laboratoire.
- [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· Explique comment inspecter les signatures de fichiers. Cette référence n'établit pas l'identité ou la sécurité d'un fichier particulier en cours d'exécution.
- [Microsoft : Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· Méthode de requête de processus locale en lecture seule.
- [Microsoft : propriétés de Win32_Process ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· Documente les ID de processus, les chemins d'accès exécutables, les dates de création et la réutilisation de l'ID parent.

## Cet article vous a-t-il été utile ?

Un simple oui ou non suffit. Choisissez une raison si vous le souhaitez, ou ajoutez une courte remarque.

Faits en bref

La synthèse rapide de cette page. Les spécifications, les sources et le contenu complet restent dans l'article.

- **Type**: Processus d'application

  **Éditeur**: Microsoft Corporation

  **Exécutable**: powershell.exe

  **Application parente**: [Windows PowerShell](https://feex.it/wiki/l/fr/software/windows-powershell/)

  **Enregistrer le contexte**: Entrée de référence Feex Wiki

Statut de la source enregistré : Examiné par Feex: Mention de la source enregistrée : août 2026. Cette mention n'établit pas de vérification indépendante.

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/fr/process/powershell.exe/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)