Un quart de siècle de bons et loyaux services, et autant d’abus par les cybercriminels, n’auront pas suffi à sauver WMIC de la guillotine. Microsoft a confirmé que la prochaine mise à jour majeure de Windows 11, prévue en 2026, retirera définitivement l’utilitaire en ligne de commande, sans possibilité de le réinstaller, pas même en tant que fonctionnalité optionnelle.
La mort de WMIC (Windows Management Instrumentation Command-line) était annoncée depuis longtemps, mais elle s’est déroulée par étapes savamment orchestrées. L’outil avait été déprécié dès 2016 dans Windows Server 2012, puis dans Windows 10 en 2021, avant d’être relégué au rang de « Feature on Demand » avec Windows 11 22H2. La version 25H2, déployée cette année, le supprime déjà lors de la mise à niveau, tout en laissant aux administrateurs la possibilité de le rajouter manuellement. La prochaine itération, elle, coupera définitivement ce cordon.
L’infrastructure WMI sous-jacente, il faut le souligner, reste parfaitement intacte. Seul l’exécutable wmic.exe disparaît, cette interface textuelle que Microsoft juge désormais obsolète face à PowerShell et aux API programmatiques modernes. « Nous avons massivement investi dans PowerShell ces dernières années. Supprimer un composant déprécié réduit la complexité tout en vous gardant productifs et protégés », avait déclaré l’éditeur de Redmond en janvier 2024.
Le véritable motif de cette exécution tient en trois lettres qui font frémir les équipes de sécurité : LOL. WMIC figure depuis des années parmi les LOLBIN (living-off-the-land binaries) les plus exploités, ces exécutables légitimes signés par Microsoft que les attaquants détournent pour opérer sous le radar des antivirus. Les opérateurs de ransomwares s’en servaient couramment pour effacer les Shadow Volume Copies, privant ainsi leurs victimes de toute possibilité de restauration des fichiers chiffrés. D’autres groupes l’utilisaient pour inventorier les solutions antivirus installées sur une machine, les désactiver, ou encore injecter des exclusions dans Microsoft Defender afin de rendre leurs charges malveillantes invisibles.
La migration, pour les équipes IT qui s’appuient encore sur cet outil vieillissant, n’a rien d’une révolution technique. Une requête aussi banale que wmic path win32_process get Name se traduit en Get-CimInstance Win32_Process | Select-Object Name dans PowerShell. Les scripts batch qui appellent wmic.exe peuvent être réécrits ou, à défaut, encapsuler des commandes PowerShell via la syntaxe powershell -c. Microsoft recommande également les bibliothèques .NET (System.Management en C#) et l’API COM de WMI pour les applications plus complexes.
A lire également
Les organisations qui tardent à mettre à jour leurs scripts automatisés, leurs outils de déploiement ou leur documentation interne jouent, en tout cas, un jeu risqué. L’éditeur les presse de valider leurs chaînes d’outillage avant que la mise à jour 26H2 ne rende la question purement académique.
Vingt-cinq ans après sa création, WMIC rejoint le cimetière des utilitaires Windows dont l’héritage aura été aussi riche pour les administrateurs système que toxique pour la cybersécurité. Reste à savoir combien de scripts fantômes, oubliés dans les tréfonds d’infrastructures vieillissantes, ne découvriront sa disparition qu’au pire moment…
