COM Surrogateとは？dllhost.exeの役割と重い・削除できない時の対処法

運営責任者：宇井和朗（株式会社アシスト代表取締役）　プロフィール

💡 結論（要点まとめ）

Windowsのタスクマネージャーに表示される「COM Surrogate（dllhost.exe）」の正体と役割を解説。ファイルが削除できないエラーやCPU・メモリの異常高負荷が起きる原因、ウイルス偽装の確認手順と対処法をわかりやすく

この記事でわかること

COM Surrogate（dllhost.exe）をタスクマネージャーから強制終了しても大丈夫ですか？
COM Surrogateプロセスが複数表示されるのは異常ですか？
「COM Surrogateによってファイルが開かれているため」と出て削除できない時はどうすればいいですか？

COM SurrogateはWindows標準機能です。複数表示だけで判断せず、実行場所・署名・負荷・検査結果を分けて確認します。

判定	見られる状態	取る行動
正常な状態	画像・動画フォルダーを開いた際に起動し、処理後に負荷が落ち着く。複数表示されることもある	終了や削除はせず、そのまま利用する
要調査	特定フォルダーで高負荷になる、ファイルを削除できない、クラッシュを繰り返す	対象ファイルのハンドル、イベントログ、コーデック、ハンドラー、ドライバーを順番に確認する
緊急対応	通常とは異なる場所から実行されている、署名が無効、Defenderが警告する、身に覚えのない通信や認証画面を伴う	ネットワークから切り離し、Defenderまたは組織のEDRで検査する。業務端末はIT管理部門へ連絡する

この記事の要点（2026年9月18日現在）

COM SurrogateはCOMコンポーネントを別プロセスで動かす代理役で、実体は dllhost.exe
実行中の正規 dllhost.exe は、通常 %SystemRoot%System32 または %SystemRoot%SysWOW64 から起動される
別の場所で見つけてもファイル名だけで不正と決めず、署名の有効性、実行パス、コマンドライン、Microsoft Defenderの検査結果を組み合わせる
削除できない場合は、タスクをむやみに終了せず、Process Explorerで実際のハンドル所有者を特定する
ファイルの真正性と、実行中プロセスが侵害されていないかという健全性は別々に判定する

Windows 10／11の家庭用・業務用PCにおける一般的な環境が対象です。企業・学校の管理端末では、ここに記載した操作を行う前にIT管理部門へ確認してください。

COM Surrogate（dllhost.exe）とは？Windowsでの役割と仕組み

COM Surrogateは、サロゲート実行に対応したCOMサーバーを別プロセスでホストする仕組みです。タスクマネージャーでは「COM Surrogate」、実行ファイル名では dllhost.exe と表示されます。

Microsoft Learnの「DLL Surrogates」によると、DLLサーバーをサロゲートプロセスへ読み込むことで、クライアントからはローカルサーバーのように利用できる仕組みが用意されています。エクスプローラー周辺では、次のような部品が該当する場合があります。

サロゲート実行に対応した一部のサムネイルハンドラー
一部のプレビューハンドラーやメタデータハンドラー
メディア形式を扱うCOMコンポーネントやコーデック
アプリケーションが呼び出す登録済みのCOMサーバー

対象を広げすぎないこと：右クリックメニューなどのシェル拡張には、エクスプローラー内で動くインプロセス型もあります。シェル拡張がすべて dllhost.exe へ切り出されるわけではありません。

なぜエクスプローラーと分離して動作するのか

別プロセスでホストする設計には、COMコンポーネントの障害を呼び出し元から分離できる利点があります。ただし、COM Surrogateが停止したからといって、原因が常に外部DLLだとは限りません。

サードパーティー製のコーデックやハンドラーは原因候補ですが、Windowsの更新状況、グラフィックドライバー、破損ファイル、ストレージ、アクセス権も切り分け対象です。イベントビューアーに記録された障害モジュールと、発生直前の操作を照らし合わせます。

通常の実行場所（System32 / SysWOW64）

実行中の正規 dllhost.exe は、通常、次の場所から起動されます。

用途	通常の実行パス	確認時の注意
Windowsのシステムプロセス	`%SystemRoot%System32dllhost.exe`	`%SystemRoot%` はWindowsがインストールされたフォルダーを表す
WOW64互換プロセス	`%SystemRoot%SysWOW64dllhost.exe`	64ビット版Windows上で32ビット側の処理に使われる場合がある

Microsoft LearnのWOW64 File System Redirectorによると、64ビット版WindowsではSystem32とSysWOW64がアプリケーションのビット数に応じて扱われます。このため、フォルダー名だけを見て「System32は32ビット用」と取り違えないようにします。

別の場所から実行されている場合は、不正ファイルを疑う材料になりますが、場所だけでは確定できません。署名の有効性、ハッシュ、コマンドライン、Microsoft Defenderの検出結果を追加確認してください。

デジタル署名の表示名は環境や確認画面により異なり、「Microsoft Windows Publisher」などのMicrosoft名義が表示される例があります。名前が似ているだけでなく、署名の詳細画面で「このデジタル署名は問題ありません」と表示されるかも確認します。

複数表示はそれだけで異常ではありません。複数のCOMサーバーや処理が別々の dllhost.exe でホストされる場合があります。個数ではなく、実行パス、コマンドライン、負荷の継続、Defenderの警告を見て判断します。

「COM Surrogateで開かれているため削除できない」場合の確認手順

サムネイルハンドラーやメタデータハンドラーが対象ファイルを開いている場合があります。ただし、クラウド同期ソフト、バックアップ、ウイルス対策、メディアプレーヤーなど、別のプロセスが所有者になっていることもあります。

原因確認→安全な対処→中止条件のフロー

段階	操作	次の判断
原因確認	プレビューウィンドウを閉じ、表示を「詳細」に変更してフォルダーを閉じる	ロックが外れたら削除を再試行。外れなければProcess Explorerへ
所有者の特定	Process Explorerの「Find」→「Find Handle or DLL」で対象ファイル名を検索する	表示されたプロセス名とパスを記録する
安全な対処	該当アプリを通常の手順で閉じ、クラウド同期中なら完了または一時停止を確認する	再度削除を試す
再確認	再起動後も削除できなければ、同期状態、アクセス権、ディスクエラーを確認する	原因が分からなければサポートへ
中止条件	システムフォルダー内のファイル、業務データ、暗号化済みファイル、所有者不明のロック	強制終了や権限変更を中止し、管理者へ相談する

Process Explorerでハンドル所有者を確認する

編集中の文書や画像を保存し、プレビューと再生アプリを閉じる
Microsoft公式のProcess Explorerを起動する
メニューの「Find」から「Find Handle or DLL」を開く
削除できないファイルの名前、またはパスの一部を入力する
検索結果のプロセスを選び、プロセス名、実行パス、ハンドル対象を確認する
通常の終了操作があるアプリなら、アプリ側から閉じる

Microsoft Sysinternals公式サイトによると、Process Explorerはプロセスが開いているハンドルや読み込んだDLLを調べられるツールです。エラーメッセージに「COM Surrogate」と出ていても、実際の所有者を検索してから対処すれば、無関係なプロセスを終了する失敗を避けられます。

よくある失敗：タスクマネージャーに並ぶCOM Surrogateを上から順番に終了すると、対象とは無関係なサムネイル処理やアプリ連携まで止めることがあります。強制終了は、作業内容が保存済みで、対象プロセスを特定できた場合の最終手段です。

再起動後も削除できないとき

再起動でロックが解消することはあります。それでも削除できない場合は、次の要因を確認します。

OneDriveなどの同期処理が継続していないか
バックアップやセキュリティ検査が対象ファイルを開いていないか
ファイルまたは親フォルダーのアクセス権が変更されていないか
読み取り専用メディアやネットワーク共有上のファイルではないか
ドライブにファイルシステムエラーが記録されていないか

アクセス権の変更やディスク修復は影響範囲が広いため、重要データをバックアップしてから、PCメーカーまたはMicrosoftの公式案内に沿って進めます。

COM SurrogateでCPU・メモリが高負荷になる原因と直し方

高負荷は、破損したメディア、対応が不安定なコーデック、サムネイルまたはメタデータハンドラー、ドライバー、ストレージ処理などが候補です。タスクマネージャーの一瞬の上昇ではなく、どの操作やフォルダーと連動するかを記録します。

CPU高負荷の切り分けフロー

段階	確認・対処	中止条件
原因確認	タスクマネージャーで負荷を確認し、直前に開いたフォルダーやファイルを閉じる	PC全体が操作不能、異音、ブルースクリーンが出る場合は作業を止める
表示の切り分け	プレビューをオフにし、「詳細」表示へ変更する	症状が消えたらサムネイル・プレビュー関連を候補にする
ファイルの切り分け	特定フォルダーだけで再現するか確認し、疑わしいファイルを別の場所へ隔離する	重要データや読めないストレージは移動せずバックアップを優先する
ソフトの切り分け	最近追加したコーデック、メディア、圧縮、プレビュー関連ソフトを公式版へ更新する	業務アプリや管理対象ソフトは勝手に削除しない
検査	Microsoft Defenderで検査し、Windows Updateとメーカー公式ドライバーを確認する	警告が出たら隔離結果を記録し、組織端末はIT部門へ渡す

症状から候補を絞る

症状の出方	確認する候補	安全な対処
特定フォルダーだけで重い	破損メディア、未対応形式、メタデータ	プレビューを止め、対象ファイルを少しずつ切り分ける
画像・動画フォルダー全般で重い	コーデック、サムネイルハンドラー	関連ソフトを提供元の公式版へ更新する
サムネイルが崩れる	サムネイルキャッシュ、ドライバー	Windows標準のストレージ管理で縮小表示キャッシュを削除する
プレビュー時にクラッシュする	プレビューハンドラー、対象アプリ	プレビューを無効にし、イベントログを確認する
操作と無関係に高負荷が続く	別のCOM処理、システム障害、不正な挙動	パスと署名を確認し、Defenderで検査する

サムネイルキャッシュを削除する場合は、Windowsの設定画面にある一時ファイル管理、または「ディスククリーンアップ」の「縮小表示」を利用します。写真や動画の原本ではなく生成済みキャッシュが対象ですが、選択項目を読み、削除対象を取り違えないようにしてください。

ドライバーはPCメーカー、GPUメーカー、Windows Updateの公式経路から取得します。検索広告に表示された非公式の「ドライバー更新ツール」は使わず、機種名とOSのバージョンを公式サポートページで照合します。

不要な常駐ソフトが疑われる場合は、不要なシステム常駐ソフトのアンインストール手順も確認できます。ただし、コーデックやハンドラーとの関連が分からないソフトを一括削除する方法は避けます。

切り分けの失敗例：キャッシュ削除、ドライバー更新、アプリ削除を同時に行うと原因が分からなくなります。「操作」「結果」「イベントの時刻」を控え、一項目ずつ試してください。

「COM Surrogateは動作を停止しました」が出る場合の対策

この表示は、サロゲートプロセス内の処理が異常終了したことを示します。サードパーティー製コーデックやハンドラーは原因候補ですが、イベントログで障害モジュールを確認し、Windowsやドライバー側も切り分けます。

クラッシュ時の確認フロー

段階	確認・対処	中止条件
原因確認	発生時刻、直前の操作、対象ファイル、エラーメッセージを記録する	ブルースクリーンやデータ破損を伴う場合は繰り返し再現しない
ログ確認	イベントビューアーの「Windowsログ」→「アプリケーション」で同時刻のエラーを開く	ログを削除せず、障害モジュール名と例外情報を控える
安全な対処	関連するアプリ、コーデック、ドライバーを提供元の公式版へ更新する	障害モジュールがWindows標準ファイルでも、自己判断で削除しない
詳細調査	Process Monitorで再現時のアクセスを記録する	業務端末や機密データを扱う端末ではIT管理部門へ依頼する

シェル拡張とCOMコンポーネントを混同しない

「動画フォルダーを開いた」「PDFをプレビューした」ときに起きるなら、サロゲート実行されるサムネイルまたはプレビューハンドラーが候補です。一方、「右クリックした直後」に起きる場合は、エクスプローラー内で動くインプロセス型シェル拡張が関係することもあります。

発生直前の操作を再現できる範囲で確認する
イベントログの「障害が発生しているモジュール名」を記録する
DLL名が判明したら、ファイルのプロパティから提供元を確認する
該当ソフトの公式サポートで更新版や既知の問題を調べる
提供元を確認できないDLLは削除せず、Defenderで検査する

Microsoft公式のProcess Monitorは、ファイルシステム、レジストリ、プロセス活動を記録できます。ただし、クラッシュ直前に読み込まれたDLLがそのまま原因とは限りません。イベントログ、再現操作、提供元情報と組み合わせます。

Microsoft Q&Aの扱いに注意

Microsoft Q&Aの「COM Surrogate」投稿や、英語版の関連投稿では、利用者がCOM Surrogateの複数起動や負荷について質問しています。これらは症状例を把握する参考にはなりますが、Q&Aの回答は投稿者の資格表示を確認しない限り、Microsoftの製品仕様や公式回答として扱えません。

仕様の根拠にはMicrosoft Learnの製品ドキュメントを使い、個別環境の回答は補助情報として読み分けます。

DEPを安易に除外しない

DEP（データ実行防止）から dllhost.exe を除外する方法が紹介されることがありますが、セキュリティ保護を弱める変更です。原因ソフトの更新、イベントログの確認、ドライバーの切り分けを先に行います。

クラッシュが続く、ブルースクリーンやストレージエラーを伴う、障害モジュールが毎回異なる場合は、設定変更を止めてください。エラーメッセージ、発生時刻、イベントログを添えて、PCメーカー、Microsoftサポート、または組織のIT管理部門へ相談します。

COM Surrogateはウイルス？ファイルの真正性を確認する

ファイルの真正性は、名前だけでは判定できません。通常の実行パス、デジタル署名の有効性、ファイル情報、Microsoft Defenderの検査結果を重ねて確認します。

実行パスとデジタル署名の確認手順

タスクマネージャーの「詳細」タブで対象の dllhost.exe を探す
右クリックして「ファイルの場所を開く」を選ぶ
通常の実行場所である %SystemRoot%System32 または %SystemRoot%SysWOW64 か確認する
dllhost.exe の「プロパティ」→「デジタル署名」を開く
「Microsoft Windows Publisher」などのMicrosoft名義か、署名が有効と表示されるか確認する
Windows セキュリティからMicrosoft Defenderの検査を実行する

確認項目	通常見られる状態	追加調査が必要な状態
実行パス	`%SystemRoot%System32` または `%SystemRoot%SysWOW64`	ユーザーフォルダー、Temp、Downloadsなどから実行
デジタル署名	Microsoft名義で署名が有効	署名なし、無効、確認できない発行元
ファイル名	`dllhost.exe`	綴りを似せた別名。ただし名前だけでは判定しない
Defender	警告や検出がない	脅威検出、隔離、修復失敗の通知がある
挙動	COM処理と連動して起動・終了する	操作と無関係な高負荷や不審な通信を伴う

別パスの同名ファイルを見つけても、その場で削除しないでください。実行中のファイルを手動削除すると、証跡や復旧に必要な情報を失うことがあります。Defenderの検査結果に従い、業務端末ではIT管理部門へ渡します。

正規ファイルでも実行中プロセスの健全性は別に確認する

正規のMicrosoft署名があるファイルは、ディスク上のファイルが正規であることを判断する材料です。一方、実行中プロセスが侵害されていないことまで、パスと署名だけで保証するものではありません。

この区別により、「正規プロセスだから問題ない」と「正規プロセス名が悪用されることがある」という説明を混同せずに済みます。

確認対象	分かること	確認手段
ファイルの真正性	通常の場所にあり、Microsoftの有効な署名が付いたファイルか	実行パス、ファイルプロパティ、署名の詳細
実行中プロセスの健全性	不審な起動、永続化、検出、異常動作がないか	Defender、Autoruns、イベントログ、組織のEDR
親プロセス	起動経路を考えるための参考情報	Process Explorerなど。ただし親だけで白黒を決めない
コマンドライン	どのCOMサーバーをホストしているかを調べる手がかり	タスクマネージャーの詳細列、Process Explorer

ウイルス疑いの確認フロー

段階	対応	中止・相談の条件
原因確認	実行パス、署名の有効性、コマンドラインを確認する	確認のために不審ファイルを実行しない
安全な検査	Microsoft Defenderのクイックスキャンまたはフルスキャンを行う	検出時は手動削除せず、表示された推奨操作に従う
永続化の確認	Microsoft SysinternalsのAutorunsで自動起動項目を確認する	不明な項目を一括無効化しない
ログ確認	Windowsセキュリティ、イベントログ、組織のEDRを確認する	認証情報流出や横展開が疑われる場合はネットワークから切り離す
専門対応	業務端末はIT管理部門、個人端末は製品サポートや公的相談窓口へ	レジストリ編集やシステムファイル削除を行わない

親プロセスは参考情報にとどめます。正規の起動経路は環境や呼び出したCOMコンポーネントで変わるため、「見慣れない親だから感染」「特定の親だから安全」とは判断できません。

JPCERT/CCが2024年12月に公開した「国内組織を狙った水飲み場型攻撃 Part 1」は、国内組織を対象とした水飲み場型攻撃の調査記事です。ただし、この記事を dllhost.exe へのコード注入に関する直接の根拠としては扱いません。個別のマルウェアや注入先は記事ごとに異なるため、該当プロセス名と手法が本文に明記された資料だけを根拠にします。

Windows UpdateとDefenderのセキュリティインテリジェンスを更新する
検出履歴と保護の履歴を確認する
Autorunsでは発行元、パス、署名を見て、不明な項目は削除せず記録する
イベントログとEDRがある環境では、時刻とプロセスIDを照合する
身に覚えのない認証画面が出た場合は情報を入力しない

感染が疑われる端末で、レジストリ編集、システムファイルの置換、復元ポイントの削除は行わないでください。業務端末は社内IT部門、個人端末はMicrosoftまたはセキュリティ製品のサポート、公的な情報セキュリティ相談窓口へ状況を伝えます。

Windows 10を利用中の場合の注意

Microsoft公式のWindows 10サポート終了案内によると、Windows 10の通常サポートは2025年10月14日に終了しています。2026年9月18日時点では、通常サポート終了後のOSをそのまま使い続けることが、COM Surrogateを含むWindows機能の安全な運用にも影響します。

選択肢	確認内容	公式の確認先
Windows 11へ移行	PCがシステム要件を満たすか、メーカーが対応ドライバーを提供しているか	MicrosoftのWindows 11公式案内
ESUを利用	対象エディション、登録条件、提供期間、組織向け管理方法	Microsoft LearnのExtended Security Updates案内
PCを更新	Windows 11対応状況、必要なアプリや周辺機器の互換性	PCメーカーの機種別サポートページ

Windows 11への非公式な要件回避や、出所不明の改造インストーラーは避けてください。ESUの対象や申込方法は利用形態によって異なるため、Microsoft公式ページと組織のライセンス管理者に確認します。

COM Surrogateに関するよくある質問（FAQ）

COM Surrogateをタスクマネージャーから強制終了しても大丈夫ですか？

最初にプレビューや関連アプリを閉じ、Process Explorerで対象ファイルのハンドル所有者を確認してください。強制終了すると、そのプロセスが扱っていたサムネイル、プレビュー、変換などが中断する可能性があります。作業内容が保存済みであることを確認したうえで、ほかの手段がない場合に限ります。

COM Surrogateが複数表示されるのは異常ですか？

複数のCOMサーバーや処理が別々の dllhost.exe でホストされる場合があるため、複数表示だけでは異常と断定できません。操作と無関係に増え続ける、高負荷が収まらない、Defenderが警告する場合は調査します。

ファイルを削除できないときはどうしますか？

プレビューを閉じて待機し、Process Explorerの「Find Handle or DLL」で対象ファイルを検索します。所有者になっているアプリを通常の操作で閉じてください。再起動で解消することもありますが、残る場合はハンドル、同期状態、アクセス権、ディスクエラーを確認します。

dllhost.exeがウイルスかどうか見分けられますか？

実行中の正規 dllhost.exe は、通常 %SystemRoot%System32 または %SystemRoot%SysWOW64 から起動されます。別の場所なら追加調査し、Microsoft名義の署名が有効か、Defenderで検出されないか、コマンドラインや自動起動項目に不審点がないかを確認します。

パスと署名が正常なら安全ですか？

ディスク上のファイルが正規であることを判断する有力な材料ですが、実行中プロセスの健全性とは別です。Defender、Autoruns、イベントログ、利用可能であれば組織のEDRも組み合わせます。

COM Surrogateを無効化・削除してもいいですか？

WindowsやアプリのCOM連携に使われるため、dllhost.exe 自体を削除・置換しないでください。サムネイル処理を減らす目的なら、エクスプローラーのフォルダーオプションで縮小版を表示しない設定を検討できます。

Microsoft Q&Aは公式回答ですか？

Microsoftのドメイン上にあるコミュニティですが、すべての回答がMicrosoft社員による製品仕様の説明とは限りません。たとえばCOM Surrogateに関するQ&Aは利用者の症状を知る補助資料として利用し、仕様確認にはMicrosoft Learnの製品ドキュメントを参照します。

対処の優先順位まとめ

COM Surrogateの問題は、プロセス名だけで終了・削除せず、症状ごとに確認経路を分けます。

症状	原因確認	安全な対処	中止条件
削除できない	プレビューを閉じ、Process Explorerでハンドル所有者を検索	所有アプリを通常終了。再起動後は同期、権限、ディスクも確認	重要データ、システムファイル、所有者不明なら強制終了しない
CPU・メモリが高い	発生するフォルダー、ファイル、操作を特定	表示変更、対象の隔離、公式版への更新、Defender検査	操作不能、ブルースクリーン、ストレージ異常なら中止
クラッシュする	イベントログで障害モジュールと時刻を確認	関連ソフト、Windows、ドライバーを順番に切り分け	システムDLLを手動削除しない
ウイルスが疑われる	パス、署名、コマンドライン、検出履歴を確認	Defender、Autoruns、イベントログ、EDRで総合確認	認証情報流出や検出があればネットワークから切り離す

正常：複数表示されても、処理後に負荷が落ち着き、通常のパスと有効な署名を確認できる
要調査：特定操作で高負荷、ファイルロック、同じ障害モジュールによるクラッシュが再現する
緊急対応：Defenderの検出、無効な署名、不審な実行場所、認証情報に関わる挙動がある

画面名や操作手順はWindows Updateにより変わることがあります。表示が異なる場合は、MicrosoftのSysinternals公式ドキュメント、Windowsの公式サポート、PCメーカーの機種別サポートを確認してください。

当編集部はMicrosoftの製品ドキュメントと公的機関の公開情報を中心に整理しています。Microsoft Q&Aは利用者事例を把握する補助資料であり、個々の回答をMicrosoftの公式見解とはみなしていません。環境固有の障害は、PC構成、導入アプリ、管理ポリシーによって結果が異なります。

主な参照先：Microsoft Learn「DLL Surrogates」、Microsoft Sysinternals（Process Explorer／Process Monitor／Autoruns）、Microsoft Windows 10サポート終了案内、JPCERT/CC Eyes。記事更新日：2026年9月18日

📚 参考・出典（編集部が確認した公開情報）

Microsoft Learn「DLL Surrogates」
Microsoft Sysinternals「Process Explorer」
Microsoft Sysinternals「Process Monitor」
Microsoft Q&A「COM Surrogate」（コミュニティ投稿。製品仕様はMicrosoft Learnで確認）
Microsoft Q&A「What is COM Surrogate」（コミュニティ投稿）
Microsoft Q&A「Does anyone know what COM Surrogate actually is」（コミュニティ投稿）
JPCERT/CC Eyes「国内組織を狙った水飲み場型攻撃 Part 1」
Microsoft「Windows 10サポート終了」

※公開情報を2026年9月18日に確認しています。製品仕様やサポート条件は更新されるため、リンク先の公式案内も併せて確認してください。

✍️ この記事を書いた人：House Care Lab 編集部

House Care Lab 編集部は、公的機関の情報・企業の公式発表・一次データを確認したうえで記事を編集・更新している編集チームです。内容は定期的に見直し、最新の状況に合わせて改訂しています。

🖋 発行責任者：宇井和朗（うい・かずあき）

運営者（発行責任者）／株式会社アシスト代表取締役。2014年12月設立の株式会社アシスト（東京都千代田区飯田橋）代表取締役。制作実績 80,000 社（同社会社概要）。本メディアの運営と発行に責任を負っています。ホワイト企業認定を3年連続取得、2026年に優良ビジネス認定ゴールド（J-DMA）を取得。会社概要

編集方針・検証方法・運営者情報

🧰 お困りごとの解決に