我要评论本周推送的 windows 11 强制更新，终于移除了遭勒索软件大量滥用的 wmic 工具。如果没有接触过企业运维环境，你大概率从未听说过 wmic。但它带来的风险并非只存在于企业：只要个人电脑安装了该组件，普通用户同样会受到威胁。
wmic 全称 windows management instrumentation command-line（windows 管理规范命令行工具），在 windows 系统中已存在数十年，它本身并不是恶意软件。这是一款合法的命令行工具，主要供企业用户通过 windows 管理规范（wmi）查询、管理 windows 电脑。it 部门以外的人员也会使用它来管理系统、实现自动化操作，因此消费版 windows 系统也会预装该工具。
微软早在 2021 年 5 月发布 windows 10 21h1 版本时，就已宣布弃用 wmic，但当时它仍作为“按需功能”保留预装。随着 2026 年 9 月 windows11 更新补丁 kb5124008 推送，wmic 被彻底移除，不再作为按需功能提供。
微软建议，仍依赖 wmic 的应用、脚本与工作流程，应当迁移至官方支持的替代方案，而不是重新安装该工具。
wmic 可被勒索软件攻击普通用户
wmic 遭恶意滥用的案例同样波及普通家庭用户，最常见的攻击手段就是删除 windows 的卷影副本。
很多用户并不了解，windows 会自动生成卷影副本，用来恢复文件的历史版本，包括个人资料。windows 系统的各项恢复功能，本质上都是依托回退到早期系统状态这一机制。
攻击者滥用 wmic，可以先行删除卷影副本。一旦勒索软件加密你的文件，你就很难回退系统或者恢复数据。这并非纸上谈兵，已有可靠报告证实，知名勒索软件 teslacrypt 4.1b 就利用 wmic，在受感染电脑上删除卷影副本。
我们了解到，serpent、whiterose、zenis、saturn 等大量勒索软件家族，都曾滥用 wmic。
就连臭名昭著的永恒之蓝勒索软件 wannacry，也会删除卷影副本、禁用 windows 启动恢复功能并清除备份信息，其中就有调用 wmic 删除卷影副本的命令。
并不是 wmic 本身造成 wannacry 初始感染；但只要没有手动禁用或移除这个 windows 自带合法工具，勒索软件就可以利用它实施破坏。
wmic 还会被用来干扰 windows 杀毒防护。例如有木马借助 wmic 查询 windows defender 是否正在运行，随后将自身添加到 defender 的排除列表中。
2021 年，也就是微软宣布弃用 wmic 的同年，攻击者在论坛传播 derohe 勒索软件。该恶意程序同样依靠 wmic 命令，添加微软 defender 的排除项。
windows latest 经调研发现，移除 wmic 能够直接破坏一部分专门依赖该工具的攻击手段与勒索软件战术。攻击者必须寻找替代方案，或是诱骗用户重新安装 wmic。
如何验证系统是否已经移除 wmic
首先通过 windows 更新安装 2026 年 9 月更新，补丁编号为 windows11 kb5124008，安装后系统内部版本号升级至 build 26200.9445。只要版本号大于或等于 26200.9445，就获得了这项防护。该版本不仅移除 wmic，还修复了上百项高危安全漏洞。
在 windows11 build 26200.9445 或更高版本中，打开终端或命令提示符，输入 wmic，系统会返回命令无法识别的报错信息，代表 wmic 已彻底移除。
在此之前，执行 wmic 命令，会简短展示这款命令行工具的使用说明。
微软提醒：非必要不要恢复 wmic
微软的支持文档提供下载包可手动恢复 wmic。但微软明确说明，这个安装包仅用于适配仍依赖该工具的应用、脚本或业务流程。
如果你根本不知道 wmic 是什么，大概率不需要安装它。如果第三方软件或者不可信网站突然要求你下载 wmic，一定要高度警惕。
对于仍依赖该工具的企业组织，微软提供这个安装包仅作为临时兼容方案，长期目标仍是引导用户迁移到受支持的替代方案。
微软对所有打算强制重装 wmic 的用户发出警告：“我们建议尽快不再使用这个临时方案。”
发表评论