DossierRisque : Prudence

Logs C:\Windows\System32\wbem\Logs

Journaux texte de WMI (wbemcore.log, mofcomp.log, etc.) : erreurs du service, des fournisseurs et des compilations MOF.

Mis à jour le 12 novembre 2026 Par AltF4 Formation

À quoi ça sert

wbem\Logs reçoit les journaux texte de l’infrastructure WMI. WMI trace désormais son activité par ETW plutôt que dans des fichiers texte, mais le service, la compilation MOF et certains fournisseurs écrivent encore leurs propres journaux ici. C’est l’endroit à regarder quand un fournisseur WMI ne répond pas ou qu’un fichier MOF ne se compile pas.

Ce qu’il contient

wbemcore.log : journal du cœur du service WMI.
mofcomp.log : résultats des compilations de fichiers MOF.
wbemprox.log, wmiprov.log et d’autres : proxy et fournisseurs, selon la configuration.
Le niveau de journalisation se règle dans le Registre sous HKLM\SOFTWARE\Microsoft\WBEM\CIMOM, valeur Logging.

Risques et bonnes pratiques

Les fichiers .log peuvent être archivés ou supprimés sans dommage pour WMI : il les recrée.
Une journalisation détaillée laissée en place remplit le disque. Revenez au niveau par défaut après le diagnostic.
Pour savoir qui appelle quoi dans WMI, ou détecter un abus de WMI, lisez plutôt le journal Microsoft-Windows-WMI-Activity/Operational.

Commandes utiles

# Lister les journaux WMI
Get-ChildItem -Force "$env:windir\System32\wbem\Logs" | Select-Object Name, Length, LastWriteTime

# Lire la fin d'un journal du service WMI
Get-Content "$env:windir\System32\wbem\Logs\wbemcore.log" -Tail 40

# Chercher les erreurs de compilation MOF
Select-String -Path "$env:windir\System32\wbem\Logs\mofcomp.log" -Pattern "error" | Select-Object -Last 20

# Lire l'activité WMI dans l'Observateur d'événements (le traçage moderne)
Get-WinEvent -LogName "Microsoft-Windows-WMI-Activity/Operational" -MaxEvents 20

Signaler une erreur