Pedidos inesperados de UAC ao executar operações de reparação MSI após a instalação da atualização de segurança do Windows de agosto de 2025

Registo de alterações

Alterar data	Descrição
3/26/2026	Atualização dos passos de resolução que envolvem a chave SecureRepairAllowlistregistry.
11/24/2025	Foram adicionadas informações sobre as atualizações do Windows lançadas a partir de 28 de outubro de 2025 que resolvem este problema para algumas aplicações, como o Autodesk AutoCAD.

Sintomas

A partir da atualização de segurança do Windows de setembro de 2024, o Windows Installer (MSI) começou a exigir um pedido de Controlo de Conta de Utilizador (UAC) para as suas credenciais ao reparar uma aplicação. Este requisito foi aplicado na atualização de segurança do Windows de agosto de 2025 para resolver a vulnerabilidade de segurança, CVE-2025-50173.

Devido ao fortalecimento de segurança incluído na atualização de agosto de 2025, os utilizadores não administradores podem ter problemas ao executar algumas aplicações:

• As aplicações que iniciam uma reparação MSI de forma silenciosa (sem apresentar a interface de utilizador) falhavam com uma mensagem de erro. Por exemplo, instalar e executar o Office Professional Plus 2010 como um não administrador falharia com o Erro 1730 durante o processo de configuração.

• Os utilizadores que não sejam administradores podem receber pedidos inesperados de Controlo de Conta de Utilizador (UAC) quando instaladores MSI executam determinadas ações personalizadas. Essas ações podem incluir operações de configuração ou reparo em primeiro ou segundo plano, inclusive durante a instalação inicial de um aplicativo. Estas ações incluem:

  • Executando comandos de reparo MSI (como msiexec /fu).
  • Instalar um ficheiro MSI após um utilizador iniciar sessão numa aplicação pela primeira vez.
  • Executar o Windows Installer durante a Configuração Ativa.
  • Implantando pacotes via Microsoft Configuration Manager (ConfigMgr) que dependem de configurações de "publicidade" específicas do usuário.
  • Ativar o Ambiente de Trabalho Seguro.

Resolução

Para resolver estes problemas, a atualização de segurança do Windows de setembro de 2025 (e atualizações posteriores) reduz o âmbito para requerer pedidos UAC para reparações MSI e permite que os administradores de TI desativem pedidos UAC para aplicações específicas, adicionando-os a uma lista de permissões.

Depois de instalar a atualização de setembro de 2025, os pedidos UAC só serão necessários durante as operações de reparação MSI se o ficheiro MSI de destino contiver uma ação personalizada elevada. Este requisito é ainda mais refinado após a instalação das atualizações do Windows lançadas a partir de 28 de outubro de 2025, pelo que os pedidos UAC só serão necessários se as ações personalizadas elevadas forem executadas durante o fluxo de reparação. Portanto, a instalação das atualizações mais recentes do Windows resolverá esse problema para aplicativos que não executam essas ações personalizadas elevadas.

Como os prompts UAC ainda serão necessários para aplicativos que executam ações personalizadas elevadas durante um fluxo de reparo MSI, depois de instalar a atualização de setembro de 2025, os administradores de TI terão acesso a uma solução alternativa que pode desabilitar prompts UAC para aplicativos específicos adicionando arquivos MSI a uma lista de permissões.

Como adicionar aplicações a uma lista de permissões para desativar pedidos UAC

Antes de começar, você precisará obter o código do produto do arquivo MSI que você gostaria de adicionar à lista de permissões. Pode fazê-lo ao utilizar a ferramenta ORCA que está disponível no Windows SDK:

1. Transfira e instale o Windows SDK Components para Programadores do Windows Installer.
2. Navegue para C:\Program Files (x86)\Windows Kits\10\bin\10.0.26100.0\x86 e execute Orca-x86_en-us.msi. Isto instalará a ferramenta ORCA (Orca.exe).
3. Execute Orca.exe.
4. Na ferramenta ORCA, utilize Abrir Ficheiro > para navegar para o ficheiro MSI que pretende adicionar à lista de permissões.
5. Quando as tabelas MSI estiverem abertas, clique em Propriedade na lista à esquerda e anote o valor CódigoDoProduto .
   
6. Copie o ProductCode. Precisará dele mais tarde.

Assim que tiver o código do produto, siga estes passos para desativar os pedidos UAC para esse produto:

1. Na caixa Pesquisar , digite regedit, e selecione Editor do Registro nos resultados da pesquisa.

2. Localize e selecione a seguinte subchave no registo:
   HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer

3. No menu Editar, aponte para Novo e, em seguida, selecione Valor DWORD.

4. Escreva SecureRepairPolicy o nome do valor DWORD e, em seguida, prima Enter.

5. Clique com o botão direito do mouse em SecureRepairPolicy e selecione Modificar.

6. Na caixa Dados do valor, digite 2 e selecione OK.
   

7. Localize e selecione a seguinte subchave no registo:
   HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer

8. No menu Editar , aponte para Novo e clique em Chave.

9. Escreva um dos seguintes para o nome da chave e, em seguida, prima Enter:

   1. Para Windows 11, versão 25H2 ou Windows 11, versão 24H2: Se tiver instalado as atualizações do Windows lançadas a partir de 26 de março de 2026 (Compilações do SO 26200.8116 e 26100.8116 ou posteriores), escrevaSecureRepairAllowlist.
   2. Para todas as outras versões do Windows: Tipo SecureRepairWhitelist.

   Aviso

   Se estiver a utilizar o Windows 11, versões 24H2 ou 25H2 (Compilações do SO 26200.8116 e 26100.8116 ou posterior) e jáHKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer\SecureRepairWhitelist existir, não utilize as chaves de registo SecureRepairAllowliste SecureRepairWhitelistem simultâneo. Se a chave de registo SecureRepairWhitelistjá existir, recomendamos que siga os seguintes passos:

   • Crie a chave do Registo SecureRepairAllowlist, tal como descrito acima.
   • Copie quaisquer Valores de Cadeia de caracteres contidos em SecureRepairWhiteliste adicione-os à chave do Registro SecureRepairAllowlist, conforme descrito abaixo.
   • Em seguida, elimine a chave de registo SecureRepairWhitelist.

10. Faça duplo clique na chave SecureRepairAllowlist (ou SecureRepairWhitelist) para a abrir.

11. No menu Editar , aponte para Novo e clique em Valor da Cadeia. Crie Valores de Cadeia de Caracteres que contenham o ProductCode que você anotou anteriormente (incluindo chavetas {}) dos arquivos MSI que você gostaria de adicionar à lista de permissões. O NOME do Valor da Cadeia é o CódigoDoProduto e o VALOR pode ser deixado em branco.