博客 详情

微软：Win11 已移除勒索软件滥用的 WMIC 工具，请勿自行恢复

微软：Win11 已删除勒索软件常利用的WMIC工具，用户不应自行恢复

本周推送的Windows 11强制更新中，微软正式移除了被勒索软件大量滥用的WMIC工具。如果你不熟悉企业IT运维，可能从未听说过WMIC，但它的风险并不仅限于企业环境：只要个人电脑安装了该组件，普通用户同样面临威胁。

WMIC全称Windows Management Instrumentation Command-line，是Windows系统中存在数十年的合法命令行工具，主要用于企业用户通过WMI查询和管理Windows电脑。除IT部门外，其他人员也可能用它来管理系统或实现自动化操作，因此消费版Windows系统也预装了该工具。

微软早在2021年5月发布Windows 10 21H1版本时，就宣布弃用WMIC，但当时它仍作为“按需功能”保留预装。随着2026年9月Windows 11更新补丁KB5124008推送，WMIC被彻底移除，不再作为按需功能提供。

微软建议，仍依赖WMIC的应用、脚本与工作流程，应迁移至官方支持的替代方案，而非重新安装该工具。

WMIC可被勒索软件攻击普通用户

WMIC遭恶意滥用的案例同样波及普通家庭用户，最常见的攻击手段是删除Windows的卷影副本。

许多用户并不了解，Windows会自动生成卷影副本，用于恢复文件的历史版本，包括个人资料。Windows系统的各项恢复功能，本质上都依赖于回退到早期系统状态。

攻击者滥用WMIC，可以先行删除卷影副本。一旦勒索软件加密文件，用户就很难回退系统或恢复数据。这并非理论风险，已有可靠报告证实，知名勒索软件TeslaCrypt 4.1b就利用WMIC在受感染电脑上删除卷影副本。

IT之家了解到，Serpent、WhiteRose、Zenis、Saturn等大量勒索软件家族，都曾滥用WMIC。

就连臭名昭著的永恒之蓝勒索软件WannaCry，也会删除卷影副本、禁用Windows启动恢复功能并清除备份信息，其中就有调用WMIC删除卷影副本的命令。

并不是WMIC本身造成WannaCry初始感染；但只要没有手动禁用或移除这个Windows自带合法工具，勒索软件就可以利用它实施破坏。

WMIC还会被用来干扰Windows杀毒防护。例如有木马借助WMIC查询Windows Defender是否正在运行，随后将自身添加到Defender的排除列表中。

2021年，也就是微软宣布弃用WMIC的同年，攻击者在论坛传播DeroHE勒索软件。该恶意程序同样依靠WMIC命令，添加微软Defender的排除项。

Windows Latest经调研发现，移除WMIC能够直接破坏一部分专门依赖该工具的攻击手段与勒索软件战术。攻击者必须寻找替代方案，或是诱骗用户重新安装WMIC。

如何验证系统是否已经移除WMIC

首先通过Windows更新安装2026年9月更新，补丁编号为Windows 11 KB5124008，安装后系统内部版本号升级至Build 26200.9445。只要版本号大于或等于26200.9445，就获得了这项防护。该版本不仅移除WMIC，还修复了上百项高危安全漏洞。

在Windows 11 Build 26200.9445或更高版本中，打开终端或命令提示符，输入WMIC，系统会返回命令无法识别的报错信息，代表WMIC已彻底移除。

在此之前，执行WMIC命令，会简短展示这款命令行工具的使用说明。

微软提醒：非必要不要恢复WMIC

微软的支持文档提供下载包可手动恢复WMIC。但微软明确说明，这个安装包仅用于适配仍依赖该工具的应用、脚本或业务流程。

如果你根本不知道WMIC是什么，大概率不需要安装它。如果第三方软件或者不可信网站突然要求你下载WMIC，一定要高度警惕。

对于仍依赖该工具的企业组织，微软提供这个安装包仅作为临时兼容方案，长期目标仍是引导用户迁移到受支持的替代方案。

微软对所有打算强制重装WMIC的用户发出警告：“我们建议尽快不再使用这个临时方案。” 开云体育平台提醒用户，不要轻易恢复已移除的工具，以免增加安全风险。