Perintah UAC tak terduga saat menjalankan operasi perbaikan MSI setelah menginstal pembaruan keamanan Windows Agustus 2025

Log perubahan

Ubah tanggal	Deskripsi
3/26/2026	Langkah resolusi yang diperbarui yang melibatkan kunci SecureRepairAllowlistregistry.
11/24/2025	Menambahkan informasi tentang pembaruan Windows yang dirilis pada dan setelah 28 Oktober 2025, yang mengatasi masalah ini untuk beberapa aplikasi, seperti Autodesk AutoCAD.

Gejala

Dimulai dengan pembaruan keamanan Windows September 2024, Windows Installer (MSI) mulai mewajibkan perintah Kontrol Akun Pengguna (UAC) untuk kredensial Anda saat memperbaiki aplikasi. Persyaratan ini diberlakukan lebih lanjut dalam pembaruan keamanan Windows Agustus 2025 untuk mengatasi kerentanan keamanan, CVE-2025-50173.

Karena pengerasan keamanan yang disertakan dalam pembaruan Agustus 2025, pengguna non-admin mungkin mengalami masalah saat menjalankan beberapa aplikasi:

• Aplikasi yang memulai perbaikan MSI secara diam-diam (tanpa menampilkan antarmuka pengguna) akan gagal dengan pesan kesalahan. Misalnya, menginstal dan menjalankan Office Professional Plus 2010 sebagai non-admin akan gagal dengan Kesalahan 1730 selama proses konfigurasi.

• Pengguna non-admin dapat menerima perintah Kontrol Akun Pengguna (UAC) yang tidak terduga ketika penginstal MSI melakukan tindakan kustom tertentu. Tindakan ini mungkin mencakup operasi konfigurasi atau perbaikan di latar depan atau latar belakang, termasuk selama penginstalan awal aplikasi. Tindakan ini meliputi:

  • Menjalankan perintah perbaikan MSI (seperti msiexec /fu).
  • Menginstal file MSI setelah pengguna masuk ke aplikasi untuk pertama kalinya.
  • Menjalankan Pemasang Windows selama Penyiapan Aktif.
  • Menyebarkan paket melalui Microsoft Configuration Manager (ConfigMgr) yang mengandalkan konfigurasi "iklan" khusus pengguna.
  • Mengaktifkan Desktop Aman.

Resolusi

Untuk mengatasi masalah ini, pembaruan keamanan Windows September 2025 (dan pembaruan selanjutnya) mengurangi cakupan untuk mewajibkan perintah UAC untuk perbaikan MSI dan memungkinkan admin TI menonaktifkan perintah UAC untuk aplikasi tertentu dengan menambahkannya ke daftar yang diizinkan.

Setelah menginstal pembaruan September 2025, perintah UAC hanya akan diperlukan selama operasi perbaikan MSI jika file MSI target berisi tindakan kustom yang ditingkatkan. Persyaratan ini disempurnakan lebih lanjut setelah menginstal pembaruan Windows yang dirilis pada dan setelah 28 Oktober 2025, sehingga perintah UAC hanya akan diperlukan jika tindakan kustom yang ditingkatkan dijalankan selama alur perbaikan. Oleh karena itu, menginstal pembaruan Windows terbaru akan mengatasi masalah ini untuk aplikasi yang tidak menjalankan tindakan kustom yang ditingkatkan tersebut.

Karena perintah UAC masih akan diperlukan untuk aplikasi yang melakukan tindakan kustom yang ditingkatkan selama alur perbaikan MSI, setelah menginstal pembaruan September 2025, admin TI akan memiliki akses ke solusi yang dapat menonaktifkan perintah UAC untuk aplikasi tertentu dengan menambahkan file MSI ke daftar yang diizinkan.

Cara menambahkan aplikasi ke daftar yang diizinkan untuk menonaktifkan perintah UAC

Sebelum memulai, Anda perlu mendapatkan kode produk dari file MSI yang ingin ditambahkan ke daftar yang diizinkan. Anda dapat melakukannya dengan menggunakan alat ORCA yang tersedia di Windows SDK:

1. Unduh dan instal Komponen Windows SDK untuk Pengembang Windows Installer.
2. Navigasikan ke C:\Program Files (x86)\Windows Kits\10\bin\10.0.26100.0\x86 dan jalankan Orca-x86_en-us.msi. Tindakan ini akan menginstal alat ORCA (Orca.exe).
3. Jalankan Orca.exe.
4. Di alat ORCA, gunakan File > Open untuk menelusuri file MSI yang ingin Anda tambahkan ke daftar yang diizinkan.
5. Setelah tabel MSI terbuka, klik Properti dalam daftar di sebelah kiri dan catat nilai ProductCode .
   
6. Salin kode produk. Anda akan memerlukannya nanti.

Setelah Anda memiliki kode produk, ikuti langkah-langkah berikut untuk menonaktifkan perintah UAC untuk produk tersebut:

1. Dalam kotak Pencarian , ketik regedit, dan pilih Editor Registri di hasil pencarian.

2. Temukan dan pilih subkey berikut dalam registri:
   HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer

3. Pada menu Edit, arahkan ke Baru, lalu pilih Nilai DWORD.

4. Ketik SecureRepairPolicy nama DWORD, lalu tekan Enter.

5. Klik kanan SecureRepairPolicy, lalu pilih Ubah.

6. Dalam kotak Data nilai , ketik 2, lalu pilih OK.
   

7. Temukan dan pilih subkey berikut dalam registri:
   HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer

8. Pada menu Edit, arahkan ke Baru, lalu klik Tombol.

9. Ketik salah satu hal berikut untuk nama tombol, lalu tekan Enter:

   1. Untuk Windows 11, versi 25H2 atau Windows 11, versi 24H2: Jika Anda telah menginstal pembaruan Windows yang dirilis pada atau setelah 26 Maret 2026 (OS Build 26200.8116 dan 26100.8116 atau yang lebih baru), ketikSecureRepairAllowlist.
   2. Untuk semua versi Windows lainnya: Tipe SecureRepairWhitelist.

   Peringatan

   Jika Anda menggunakan Windows 11, versi 24H2 atau 25H2 (OS Build 26200.8116 dan 26100.8116 atau yang lebih baru), dan HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer\SecureRepairWhitelist sudah ada, jangan gunakan kunci registri SecureRepairAllowlistdan SecureRepairWhitelistsecara bersamaan. Jika kunci registri SecureRepairWhitelistsudah ada, kami sarankan Anda melakukan langkah-langkah berikut:

   • Buat kunci registri SecureRepairAllowlist, seperti yang dijelaskan di atas.
   • Salin Nilai String apa pun yang terdapat dalam SecureRepairWhitelistdan tambahkan ke kunci registri SecureRepairAllowlist, seperti yang dijelaskan di bawah ini.
   • Kemudian, hapus kunci registri SecureRepairWhitelist.

10. Klik dua kali tombol SecureRepairAllowlist (atau SecureRepairWhitelist) untuk membukanya.

11. Pada menu Edit, arahkan ke Baru, lalu klik Nilai String. Buat Nilai String yang berisi Kode Produk yang Anda catat sebelumnya (termasuk kurung {}kurawal) dari file MSI yang ingin Anda tambahkan ke daftar yang diizinkan. NAMA Nilai String adalah Kode Produk dan NILAI dapat dibiarkan kosong.