1. [Wiki](https://feex.it/wiki/)
2. [Processi](https://feex.it/wiki/process/)
3. [Processi dell'applicazione](https://feex.it/wiki/process/application/)
4. powershell.exe

# powershell.exe

Processo applicativo: Microsoft Corporation

Termini di ricerca del catalogo powershell, windows powershell

Windows, Applicazione

Windows PowerShell 5.1. pwsh.exe è PowerShell 7. Possono essere presenti entrambi. La finestra della console è spesso conhost.exe.

## Cosa c'è da sapere

Questo è Windows PowerShell 5.1. Il rischio è rappresentato dallo script sulla riga di comando, non dal nome dell'host.

powershell.exe è Windows PowerShell. pwsh.exe è il più recente PowerShell. conhost.exe disegna la finestra. Un powershell.exe nascosto avviato da una macro di Word è una questione legata alla riga di comando.

- **Sicuro?**: Controlla il percorso del file in esecuzione, la firma e il publisher. Il solo nome non basta a stabilire la sicurezza.

  **È uguale a pwsh?**: No. pwsh è PowerShell 7

  **Perché è presente conhost?**: Quella è la finestra della console

Feex dice

Non definisco mai powershell.exe un malware solo perché è in esecuzione. Leggo la riga di comando. Un host con firma valida che avvia uno script in Temp costituisce il vero problema.

## Che cos'è powershell.exe?

powershell.exe è Windows PowerShell 5.1, integrato in Windows. Non è pwsh.exe, che viene installato come PowerShell 7 da Microsoft.

## Cosa fa?

Esegue script e cmdlet. I criteri di esecuzione possono bloccare gli script locali non firmati. Un bypass sulla riga di comando è un campanello d'allarme se non è stato digitato manualmente.

## Perché è in esecuzione?

È stato aperto un prompt, un'attività pianificata o un programma di installazione ha avviato uno script. Anche il malware fileless utilizza questo host. Il percorso combinato con la riga di comando chiarisce la situazione.

## Ispeziona l'istanza in esecuzione

In Windows PowerShell, questa query di sola lettura elenca gli ID processo corrispondenti, i tempi di creazione e i percorsi eseguibili su questo PC.

`Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'powershell.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List`

Nessun risultato o un percorso inaccessibile è inconcludente. I processi protetti possono limitare l'accesso e gli ID processo possono essere riutilizzati. Mantieni i percorsi personali locali.

Usa la [guida all'identità del file](https://feex.it/wiki/l/it/software/system/verify-executable-path-signature/) per confrontare firme e metadati del prodotto. Un nome file da solo non può stabilire la sicurezza.

## È sicuro?

L'host è legittimo. Il dubbio riguarda lo script

powershell.exe in System32 o SysWOW64 è l'host di Windows. La sicurezza dipende dal processo padre e dalla riga con -Command / -EncodedCommand. I verdetti basati solo sul nome file qui non funzionano.

Confronta la posizione registrata con il file effettivo. Una cartella familiare da sola non stabilisce l'identità.

`C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe`

- PowerShell 7 è pwsh.exe
- L'host a 32 bit si trova in SysWOW64
- Leggere sempre gli argomenti

## Posso terminarlo?

Arresta lo script in questione

Terminare powershell.exe arresta quella sessione. Se un'attività lo riavvia, individua l'attività. Terminare conhost.exe chiude unicamente la finestra.

## Posso rimuoverlo?

No

Non eliminare powershell.exe. Se si tratta di un PC aziendale bloccato, limita l'esecuzione degli script tramite criteri. La manutenzione di Windows richiede la presenza dell'host.

## Dovrebbe avviarsi con Windows?

Un'istanza di PowerShell all'avvio con una finestra nascosta richiede un controllo di persistenza. Un collegamento interattivo creato dall'utente non è problematico.

## Misura l'uso delle risorse

| CPU e memoria | Confronta diverse osservazioni per lo stesso PID e carico di lavoro. Questa voce non ha una linea di base universale misurata in modo indipendente.              |
| ------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Disco e rete  | Attribuisci l'attività al processo effettivo e all'attività corrente; un nome file da solo non stabilisce le destinazioni previste o il volume di trasferimento. |

## Informazioni sul file

| Nome dell'eseguibile                 | powershell.exe                                                                         |
| ------------------------------------ | -------------------------------------------------------------------------------------- |
| Percorso di installazione registrato | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe                              |
| Publisher                            | Microsoft Corporation                                                                  |
| Controllo firma                      | Ispeziona il file effettivo; questa voce non certifica l'identità del suo certificato. |

## Problemi comuni

### EncodedCommand all'accesso

Copia la riga e decodificala in un editor sicuro. Quello è il payload effettivo, non significa che "PowerShell sia un virus".

### Confuso con cmd

I file batch fanno capo a cmd.exe. I profili di PowerShell utilizzano un file di avvio differente.

## Risoluzione dei problemi

Esegui una diagnosi prima di apportare modifiche distruttive.

### Verifica il PID padre

Se winword avvia powershell si tratta di una macro di Office. Se explorer lo avvia dopo aver fatto clic su un collegamento, l'azione è intenzionale.

### Non disabilitare PowerShell per fermare un singolo script

Rimuovi l'attività pianificata o il documento. L'host è soltanto uno strumento.

## Dettagli tecnici

Dettagli tecnici

| Nome immagine      | powershell.exe          |
| ------------------ | ----------------------- |
| Elemento correlato | pwsh.exe (PowerShell 7) |

## Verifica l'identita' di un file in esecuzione

Un nome file da solo non può stabilire la sicurezza. Verifica il percorso effettivo, la firma e l'identità del prodotto.

## Correlati

Queste entità sono collegate a questo articolo. Il tipo viene mostrato per ogni collegamento.

[Windows PowerShell: Applicazione](https://feex.it/wiki/l/it/software/windows-powershell/)[cmd.exe: Processo applicativo](https://feex.it/wiki/l/it/process/cmd.exe/)[conhost.exe: Processo di Windows](https://feex.it/wiki/l/it/process/conhost.exe/)[Controlla un percorso eseguibile e la firma digitale: Guida](https://feex.it/wiki/l/it/software/system/verify-executable-path-signature/)[Leggi Gestione attività e confronta l'attività dei processi: Guida](https://feex.it/wiki/l/it/software/system/how-to-read-task-manager/)[Processi dell'applicazione: Categoria](https://feex.it/wiki/process/application/)

## Fonti e verifica

Etichetta della fonte registrata: agosto 2026. Questa etichetta non costituisce una verifica indipendente. [Come svolgiamo le ricerche](https://feex.it/wiki/research/).

- [Microsoft Learn: PowerShell ](https://learn.microsoft.com/powershell/scripting/overview)· Windows PowerShell e pwsh
- [Microsoft Learn: conhost ](https://learn.microsoft.com/windows/console/console-host)· Host della finestra della console
- [Mappa dei processi di Foxhole ](https://foxhole.feex.it/)· Campioni di prima parte su PC Windows. Non e' un benchmark di laboratorio.
- [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· Spiega come esaminare le firme dei file. Questo riferimento non stabilisce l'identità o la sicurezza di un particolare file in esecuzione.
- [Microsoft: Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· Metodo di query dei processi locali di sola lettura.
- [Microsoft: proprietà Win32_Process ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· Documenta ID processo, percorsi eseguibili, date di creazione e riutilizzo dell'ID padre.

## Questo articolo è stato utile?

È sufficiente un sì o un no. Scegli un motivo, se desideri, o aggiungi una breve nota.

Informazioni rapide

La breve carta d'identità di questa pagina. Specifiche, fonti e la trattazione completa restano nell'articolo.

- **Tipo**: Processo applicativo

  **Publisher**: Microsoft Corporation

  **Eseguibile**: powershell.exe

  **App principale**: [Windows PowerShell](https://feex.it/wiki/l/it/software/windows-powershell/)

  **Registra il contesto**: Voce di riferimento Feex Wiki

Stato dell'origine registrato: Verificato da Feex: Etichetta della fonte registrata: agosto 2026. Questa etichetta non costituisce una verifica indipendente.

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/it/process/powershell.exe/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)