Windows 11-mysteriet er endelig løst: Her er svaret på tjenesten som lurte på deg

Tjenesten heter «Windows Health and Optimized Experiences», forkortet whesvc, og den kjører stille i bakgrunnen på Windows 11-maskiner. I august 2026 gikk et innlegg viralt med påstanden om at Microsoft brukte tjenesten til å sende detaljerte data om CPU, temperatur, batteri og kjørende prosesser hjem hvert kvarter.

Nå har både en uavhengig reverse-engineer og Microsoft selv slått fast at det ikke stemmer, men bildet er mer sammensatt enn ren blank frikjenning.

Slik oppsto ryktet

En viral X-post beskrev whesvc som et skjult sporingsverktøy laget for bærbare, men som angivelig kjørte til ingen nytte på stasjonære spill-PC-er og sendte data til Microsoft hvert 15. minutt. Innlegget samlet raskt over 110.000 visninger og spredte seg videre i tekniske fora, ifølge Windows Latest.

Microsofts svar kom via Scott Hanselman, VP og medlem av selskapets tekniske stab. Han avviste karakteristikken og forklarte at tjenesten samler lokal ytelsesdata når operativsystemet oppdager treg oppførsel, og at dataene blir liggende på maskinen med mindre brukeren aktivt sender dem inn.

Les også: Google AI-assistent tar over reiseplanleggingen: Sporer flypriser og booker hotell for deg

Hanselman erkjente likevel at beskrivelsen av tjenesten i Windows er uklar, og sa at Microsoft skulle be om at teksten ble utvidet. Om selve reaksjonen kommenterte han tørt: «Å si ting med store bokstaver for dramatikkens skyld gjør dem ikke dramatiske.»

Lua-tolker som kjører som SYSTEM

Den mest grundige gjennomgangen kom fra reverse-engineer Xusheng Li, som 16. august 2026 publiserte en teknisk demontering av tjenesten. Han fant at whesvc består av tre komponenter: whesvc.dll som laster inn støttebiblioteker, windiag.dll på 946 kilobyte som inneholder en innebygd Lua 5.4-tolker, og whesvc_assets.dll med 84 forhåndskompilerte Lua-skript.

Analysen ble gjort på Windows 11 Pro build 26200, med tjenestebinærer i versjon 10.0.26100.8972. Li beskriver oppdagelsen som uventet: Windows leverer altså en Lua-tolker i system32, og en tjeneste kjører den som SYSTEM.

Skriptmotoren har tilgang til 79 innebygde funksjoner fordelt på tolv biblioteker. Det gir Microsofts skript mulighet til å lese og skrive til registeret, utføre vilkårlige filoperasjoner, opprette prosesser, kjøre WMI-spørringer, hente ETW-sporinger og sende HTTP-forespørsler. Om filskrivings-funksjonen bemerker Li at det finnes «ingen prefiks-sjekk, ingen allowlist, ingen kanonisering».

Les også: iPhone blir snart bilnøkkelen til Xiaomi-biler: Kommer også til Europa

Data blir liggende lokalt

Selv om kapasiteten er omfattende, fant Li at whesvc ikke laster opp brukerdata i bakgrunnen. Hvert 15. minutt kjører et skript kalt system_summary som skriver små JSON-oppsummeringer til mappen C:ProgramDataWhesvc på selve maskinen. Den eneste eksterne adressen tjenesten kontakter er symweb.azurefd.net, Microsofts offentlige symbolserver, og den krever en miljøvariabel som ikke er satt på vanlige forbrukersystemer.

Sporingene forlater PC-en bare dersom brukeren selv sender inn en rapport via Tilbakemeldingssenter under kategorien Desktop og System Sluggishness. Tjenesten står også bak Adaptive Energy Saver, som automatisk justerer batterisparingen basert på faktisk bruk av maskinen.

Li konkluderer at Windows Health and Optimized Experiences ikke er spionprogramvare, men en legitim diagnosetjeneste bygget på en generell skriptmotor.

Har allerede produsert en sårbarhet

Den brede kapasiteten har likevel en pris. Li peker på CVE-2025-59241, en lokal privilegie-eskalering med CVSS-score 7,8 som ble rettet i oktober 2025 i Windows-byggene 26100.6899 og 26200.6899. Sårbarheten skyldes at tjenesten laget forutsigbare mapper som SYSTEM uten å validere stiene, noe som gjorde det mulig å utnytte symbolske lenker for å ta over rettigheter.

Les også: Elbilen din gir passasjerene mer kvalme: Forskningen peker på én klar årsak

Kjører du build 26100.6899, 26200.6899 eller nyere, er hullet tettet. Er du på en eldre 24H2- eller 25H2-installasjon, bør du kjøre Windows Update før du gjør noe annet.

Slik slår du den av

Er du fortsatt ukomfortabel med at en Lua-tolker kjører som SYSTEM på maskinen din, kan tjenesten skrus av. Trykk Win+R, skriv services.msc, finn Windows Health and Optimized Experiences i listen, sett oppstartstypen til Deaktivert og stopp tjenesten. Alternativt kan du kjøre `sc stop whesvc` og `sc config whesvc start=disabled` fra en administrator-terminal.

Du mister da Adaptive Energy Saver og de automatiske ytelsessporingene, men PC-en fungerer ellers som normalt. For flere personvern-relaterte innstillinger på systemet finnes det en rekke skjulte brytere i Windows 11 som styrer hva Microsoft får se.

Microsoft har varslet at beskrivelsen av tjenesten skal skrives om, men har ikke oppgitt noen konkret dato for oppdateringen.

Les også: Apple Music slår ned på AI-musikk: Én av tre nye opplastinger er maskingenerert

Les også: PS5 Pro er nesten umulig å finne i butikk etter GTA 6-showet på Netflix