ID d'événement Windows 26 – Fenêtre contextuelle de l'application : Processus système terminé de manière inattendue

Commencez par examiner les détails spécifiques de l'ID d'événement 26 pour comprendre quel processus s'est terminé et dans quelles circonstances.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez pour l'ID d'événement 26 en cliquant avec le bouton droit sur le journal Système et en sélectionnant Filtrer le journal actuel
4. Entrez 26 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur l'entrée la plus récente de l'ID d'événement 26 pour voir des informations détaillées
6. Notez le nom du processus, le PID, le code de sortie et l'horodatage à partir de la description de l'événement
7. Utilisez PowerShell pour recueillir un contexte supplémentaire sur les événements système récents :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=26} -MaxEvents 10 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

# Vérifiez les événements critiques liés dans la même période
Get-WinEvent -FilterHashtable @{LogName='System'; Level=1,2,3} -MaxEvents 50 | Where-Object {$_.TimeCreated -gt (Get-Date).AddHours(-24)} | Format-Table TimeCreated, Id, LevelDisplayName, ProviderName

Documentez le nom du processus et tous les codes d'erreur pour une enquête plus approfondie dans les méthodes suivantes.

Vérifiez que les fichiers système critiques sont intacts et que les composants Windows fonctionnent correctement.

1. Ouvrez une invite de commande avec élévation de privilèges en appuyant sur Win + X et en sélectionnant Windows Terminal (Admin)
2. Exécutez le vérificateur de fichiers système pour rechercher des fichiers système corrompus :

sfc /scannow

3. Si SFC trouve des problèmes, exécutez DISM pour réparer l'image Windows :

DISM /Online /Cleanup-Image /RestoreHealth

4. Vérifiez la santé des composants Windows à l'aide de PowerShell :

# Vérifiez la santé de Windows Update
Get-WindowsUpdateLog

# Vérifiez que les services critiques sont en cours d'exécution
Get-Service | Where-Object {$_.Status -eq 'Stopped' -and $_.StartType -eq 'Automatic'} | Format-Table Name, Status, StartType

# Vérifiez les redémarrages en attente
if (Get-ChildItem "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\RebootRequired" -ErrorAction SilentlyContinue) {
    Write-Host "Redémarrage en attente requis pour les mises à jour Windows" -ForegroundColor Yellow
}

5. Examinez le fichier CBS.log pour obtenir des informations détaillées sur les réparations des fichiers système :

Get-Content C:\Windows\Logs\CBS\CBS.log | Select-String "error|corrupt|fail" | Select-Object -Last 20

Examinez la stabilité du matériel et les conflits de pilotes qui pourraient entraîner l'arrêt critique du processus.

1. Vérifiez la stabilité du système en utilisant le Diagnostic de mémoire Windows :

mdsched.exe

Planifiez un test de mémoire pour le prochain redémarrage et redémarrez le système.

2. Après le test de mémoire, vérifiez les résultats dans le Visualiseur d'événements sous Journaux Windows → Système, en filtrant pour Source : MemoryDiagnostics-Results
3. Examinez les installations et mises à jour récentes des pilotes :

# Vérifiez les pilotes récemment installés
Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-Kernel-PnP'} -MaxEvents 50 | Where-Object {$_.TimeCreated -gt (Get-Date).AddDays(-7)} | Format-Table TimeCreated, Id, Message -Wrap

# Listez tous les pilotes installés avec les dates
Get-WindowsDriver -Online | Sort-Object Date -Descending | Select-Object -First 20 | Format-Table ProviderName, ClassName, DriverVersion, Date

4. Vérifiez le Gestionnaire de périphériques pour les appareils problématiques :

# Obtenez les appareils avec des problèmes
Get-PnpDevice | Where-Object {$_.Status -ne 'OK'} | Format-Table FriendlyName, Status, InstanceId

5. Examinez les journaux d'erreurs matérielles :

# Vérifiez les erreurs matérielles
Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-Kernel-Processor-Power','Microsoft-Windows-Kernel-General'} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Examinez les vidages sur incident et les données de Windows Error Reporting pour identifier la cause principale de la terminaison du processus.

1. Vérifiez si Windows Error Reporting a capturé des vidages sur incident :

# Vérifiez les emplacements des rapports WER
$WERPath = "$env:LOCALAPPDATA\Microsoft\Windows\WER\ReportQueue"
Get-ChildItem $WERPath -Recurse | Where-Object {$_.Name -like "*.dmp"} | Sort-Object LastWriteTime -Descending | Select-Object -First 10 | Format-Table Name, LastWriteTime, Length

2. Configurez le système pour créer des vidages mémoire complets pour les échecs de processus critiques :

# Activez les vidages mémoire complets (nécessite un redémarrage)
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\CrashControl" -Name "CrashDumpEnabled" -Value 1
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\CrashControl" -Name "DumpFile" -Value "C:\Windows\MEMORY.DMP"

3. Vérifiez les paramètres de Windows Error Reporting et les rapports récents :

# Affichez la configuration WER
Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\Windows Error Reporting" | Format-List

# Vérifiez les rapports d'erreurs récents
Get-WinEvent -FilterHashtable @{LogName='Application'; ProviderName='Windows Error Reporting'} -MaxEvents 20 | Format-Table TimeCreated, Id, Message -Wrap

4. Utilisez Process Monitor pour capturer l'activité des processus en temps réel :

Téléchargez et exécutez Process Monitor (ProcMon) de Microsoft Sysinternals pour capturer l'activité détaillée des processus et du système de fichiers pendant le moment où l'ID d'événement 26 se produit.

5. Activez la journalisation avancée pour le processus spécifique qui se termine :

# Activez le suivi des processus dans la politique d'audit
auditpol /set /subcategory:"Process Termination" /success:enable /failure:enable

# Vérifiez les événements de terminaison de processus
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4689} -MaxEvents 20 | Format-Table TimeCreated, Message -Wrap

Mettre en œuvre des mesures de récupération système complètes et établir une surveillance pour prévenir les occurrences futures.

1. Créer un point de restauration système avant de faire des modifications :

# Créer un point de restauration
Checkpoint-Computer -Description "Avant l'enquête sur l'ID d'événement 26" -RestorePointType "MODIFY_SETTINGS"

2. Réinitialiser le rapport d'erreurs Windows et les services associés :

# Arrêter et redémarrer le service WER
Stop-Service -Name "WerSvc" -Force
Start-Service -Name "WerSvc"

# Vider la file d'attente des rapports WER
Remove-Item "$env:LOCALAPPDATA\Microsoft\Windows\WER\ReportQueue\*" -Recurse -Force -ErrorAction SilentlyContinue

# Réinitialiser le service Application Experience
Restart-Service -Name "AeLookupSvc" -Force

3. Configurer une surveillance et des alertes améliorées :

# Créer une tâche planifiée pour surveiller l'ID d'événement 26
$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-Command Get-WinEvent -FilterHashtable @{LogName='System'; Id=26} -MaxEvents 1 | Out-File C:\Logs\Event26Alert.log -Append"
$Trigger = New-ScheduledTaskTrigger -AtStartup
$Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries
Register-ScheduledTask -TaskName "Event26Monitor" -Action $Action -Trigger $Trigger -Settings $Settings -User "SYSTEM"

4. Mettre en œuvre des mesures de renforcement du système :

# Activer DEP pour tous les programmes
bcdedit /set nx AlwaysOn

# Configurer les paramètres de redémarrage automatique
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\CrashControl" -Name "AutoReboot" -Value 0

# Activer la journalisation de démarrage
bcdedit /set bootlog yes

5. Configurer une journalisation complète et établir une surveillance de référence :

# Augmenter la taille du journal système
Limit-EventLog -LogName System -MaximumSize 100MB -OverflowAction OverwriteAsNeeded

# Activer des politiques d'audit supplémentaires
auditpol /set /subcategory:"System Integrity" /success:enable /failure:enable
auditpol /set /subcategory:"Security System Extension" /success:enable /failure:enable

# Créer un script de surveillance
$MonitorScript = @"
Get-WinEvent -FilterHashtable @{LogName='System'; Id=26; StartTime=(Get-Date).AddHours(-1)} -ErrorAction SilentlyContinue | 
ForEach-Object {
    Send-MailMessage -To 'admin@company.com' -From 'server@company.com' -Subject 'Critique : ID d'événement 26 détecté' -Body `$_.Message -SmtpServer 'mail.company.com'
}
"@
$MonitorScript | Out-File C:\Scripts\Event26Monitor.ps1