Qu'est-ce que svchost.exe : un processus qui héberge plein de services

Un hôte, pas un programme

Les services Windows sont des DLL, et une DLL ne se lance pas toute seule : il lui faut un processus hôte où vivre. svchost.exe est cet hôte : une instance charge une ou plusieurs DLL de services et les exécute, c'est pourquoi tuer svchost au hasard tue aussi les locataires qu'il abrite. Historiquement, les services étaient regroupés dans des hôtes partagés par niveau de privilège pour économiser la RAM à une époque où elle manquait ; le prix à payer, c'était qu'un service planté entraînait ses colocataires dans sa chute.

Depuis le Windows 10 Creators Update, les machines dotées de plus de 3,5 Go de RAM séparent les services : chacun reçoit sa propre instance de svchost. Voilà pourquoi un PC moderne en affiche des dizaines, et pourquoi le simple compte ne veut rien dire — beaucoup d'instances, c'est de l'isolation, pas du bloat. Un service qui plante n'emporte désormais que lui-même, et l'on voit lequel mérite le blâme.

Comment savoir quel service est lequel

Le plus rapide se joue dans le Gestionnaire des tâches lui-même : dépliez une entrée svchost dans la vue Processus et les noms des services apparaissent dessous. En ligne de commande, la vue est plus large — tasklist /svc imprime chaque svchost avec son PID et les services qu'il contient ; cette commande mérite d'être retenue. Process Explorer ajoute la ligne de commande de l'hôte, où le nom de groupe après -k (par exemple svchost.exe -k netsvcs) révèle pour quel groupe de lancement le processus a été créé.

• Gestionnaire des tâches → Processus : dépliez l'entrée svchost et lisez les noms de services juste dessous
• Gestionnaire des tâches → onglets Détails et Services : croisez la colonne PID pour voir hôte et service côte à côte
• tasklist /svc dans un terminal : chaque svchost avec son PID et ses services, un bloc par hôte
• Process Explorer : la colonne Command line affiche le groupe -k, p. ex. svchost.exe -k netsvcs
• Le volet Services de Process Explorer : ce que fait tourner chaque hôte, en direct

Quand la charge de svchost est du vrai travail — et quand c'est un sosie

Une forte charge CPU ou disque dans un svchost est presque toujours un service qui fait son travail bruyamment : Windows Update (wuauserv) et son orchestrateur (UsoSvc), Delivery Optimization (DoSvc), SysMain qui repeuple la mémoire en attente après la connexion, ou le service de stratégie de diagnostic (DPS) après un changement de réseau. Identifiez le service et vous saurez s'il faut attendre, suspendre les mises à jour ou chercher la cause première — face à une mécanique de mise à jour coincée, le premier geste honnête, c'est le redémarrage. La charge de Windows Update, en particulier, se limite d'elle-même : une ou deux heures après l'arrivée des correctifs, elle disparaît jusqu'au prochain cycle.

Le vrai svchost.exe habite dans C:\Windows\System32 et est signé par Microsoft ; tout ce qui s'appelle svchost.exe mais tourne depuis un profil utilisateur, Temp ou AppData est un malware sous un nom familier. Vérifiez avant de soupçonner Windows lui-même : clic droit sur le processus → « Ouvrir l'emplacement du fichier », ou la colonne « Chemin d'accès à l'image » dans l'onglet Détails. Le chemin et la signature closent la question en dix secondes.

Questions et réponses

À lire ensuite