Neočakávané výzvy funkcie UAC pri spustení operácií opravy MSI po inštalácii aktualizácie zabezpečenia Windowsu z augusta 2025

Vzťahuje sa na
Windows Server 2025 Windows Server 2022 Windows Server 2019 Windows Server 2016 Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 Windows Server 2008 Windows 11 version 25H2, all editions Windows 11 version 24H2, all editions Windows 11 version 23H2, all editions Windows 11 version 22H2, all editions Windows 10, version 22H2, all editions Windows 10, version 21H2, all editions Windows 10, version 1809, all editions Windows 10, version 1607, all editions Windows 10, version 1511, all editions

Poznámka

  • Pôvodný dátum publikovania: septembra 9, 2025
  • ID KB: 5067315

Dôležité

  • Vylepšenie bolo zahrnuté v aktualizáciách Windowsu vydaných 28. októbra 2025 a neskôr, ktoré spresnili výzvy kontroly používateľských kont (UAC) a zároveň riešili nedostatočné zabezpečenie CVE-2025-50173. Toto vylepšenie vyriešilo problém, ktorý pre niektoré aplikácie vrátane Autodesk AutoCAD vytváral neočakávané výzvy služby UAC.
  • Skôr než sa pustíte do krokov na riešenie problémov uvedených v tomto článku, uistite sa, že ste nainštalovali najnovšie aktualizácie Windowsu a skontrolovali, či najnovšie aktualizácie váš problém vyriešia.
Zoznam zmien
Zmeniť dátum Popis
3/26/2026 Aktualizovali sme kroky riešenia týkajúce sa kľúča SecureRepairAllowlistregistry.
11/24/2025 Pridané informácie o aktualizáciách Windowsu vydaných 28. októbra 2025 a neskôr, ktoré riešia tento problém pre niektoré aplikácie, ako je napríklad Autodesk AutoCAD.

Príznaky

Počnúc aktualizáciou zabezpečenia Windowsu zo septembra 2024 začal Inštalátor systému Windows (MSI) pri oprave aplikácie vyžadovať výzvu kontroly používateľských kont (UAC) na zadanie vašich prihlasovacích údajov. Táto požiadavka bola ďalej presadzovaná v aktualizácii zabezpečenia Windowsu z augusta 2025 na riešenie nedostatočného zabezpečenia, CVE-2025-50173.

Z dôvodu sprísnenia zabezpečenia zahrnutého v aktualizácii z augusta 2025 sa môžu používatelia bez oprávnení správcu stretnúť so spúšťaním niektorých aplikácií:

  • Aplikácie, ktoré spúšťajú opravu MSI bez zobrazenia používateľského rozhrania, zlyhajú s chybovým hlásením. Napríklad inštalácia a spustenie balíka Office Professional Plus 2010 ako správca zlyhá s chybou 1730 počas procesu konfigurácie.

  • Používateľom, ktorí nie sú správcami, sa môžu zobraziť neočakávané výzvy kontroly používateľských kont, keď inštalátory MSI vykonajú určité vlastné akcie. Tieto akcie môžu zahŕňať operácie konfigurácie alebo opravy v popredí alebo na pozadí, a to aj počas úvodnej inštalácie aplikácie. Patria sem tieto akcie:

    • Spustenie príkazov na opravu Inštalátora systému Windows (napríklad msiexec /fu).
    • Inštalácia súboru MSI po prvom prihlásení používateľa do aplikácie.
    • Spustenie Inštalátora systému Windows počas súčasti Active Setup.
    • Nasadzovanie balíkov prostredníctvom nástroja Microsoft Configuration Manager (ConfigMgr), ktoré sa spoliehajú na konfigurácie "reklám" špecifické pre používateľa.
    • Povolenie zabezpečenej pracovnej plochy.

Riešenie

Na riešenie týchto problémov aktualizácia zabezpečenia Windowsu zo septembra 2025 (a neskoršie aktualizácie) znižuje rozsah vyžadovania výziev služby UAC pre opravy MSI a umožňuje správcom IT zakázať výzvy služby UAC pre konkrétne aplikácie pridaním do zoznamu povolených.

Po inštalácii aktualizácie zo septembra 2025 sa výzvy služby UAC budú vyžadovať počas operácií opravy MSI iba vtedy, ak cieľový súbor MSI obsahuje vlastnú akciu so zvýšenými oprávneniami. Táto požiadavka je ďalej spresnená po inštalácii aktualizácií Windowsu vydaných 28. októbra 2025 a neskôr, takže výzvy na riadenie používateľských kont sa budú vyžadovať len v prípade, že sa vlastné akcie bez obmedzených oprávnení vykonajú počas procesu opravy. Preto inštalácia najnovších aktualizácií Windowsu tento problém vyrieši pre aplikácie, ktoré nevykonávajú takéto vlastné akcie bez obmedzených oprávnení.

Keďže výzvy služby UAC sa budú naďalej vyžadovať pre aplikácie, ktoré vykonávajú vlastné akcie bez obmedzených oprávnení počas postupu opravy MSI, po inštalácii aktualizácie zo septembra 2025 budú mať správcovia IT prístup k alternatívnemu riešeniu, ktoré môže zakázať výzvy na riadenie používateľských účtov pre konkrétne aplikácie pridaním súborov MSI do zoznamu povolených.

Pridanie aplikácií do zoznamu povolených a vypnutie výziev služby UAC

Upozornenie

Upozorňujeme, že táto metóda explicitného nesúhlasu účinne odstraňuje túto funkciu hĺbkovej ochrany pre tieto programy.

Dôležité

Tento článok obsahuje informácie o úprave databázy Registry. Pred vykonaním úprav databázu Registry zálohujte. Uistite sa, že viete, ako obnoviť databázu Registry, ak sa vyskytne problém. Ďalšie informácie o zálohovaní, obnovení a úprave databázy Registry nájdete v téme Zálohovanie a obnovovanie databázy Registry v systéme Windows.

Skôr než začnete, budete musieť získať kód produktu súboru MSI, ktorý chcete pridať do zoznamu povolených. Môžete to urobiť pomocou nástroja ORCA , ktorý je k dispozícii v súprave Windows SDK:

  1. Stiahnite a nainštalujte súčasti súpravy Windows SDK pre vývojárov inštalátora systému Windows.
  2. Prejdite do priečinka C:\Program Files (x86)\Windows Kits\10\bin\10.0.26100.0\x86 a spustite Orca-x86_en-us.msi. Nainštaluje sa nástroj ORCA (Orca.exe).
  3. Spustite Orca.exe.
  4. V nástroji ORCA použite Otvoriť súbor > na vyhľadanie súboru MSI, ktorý chcete pridať do zoznamu povolených.
  5. Po otvorení tabuliek MSI kliknite v zozname na ľavej strane na položku Vlastnosť a poznamenajte si hodnotu KódProduktu .
    Snímka obrazovky nástroja ORCA
  6. Skopírujte kód produktu. Neskôr ho budete potrebovať.

Po získaní kódu produktu postupujte podľa týchto krokov na vypnutie výziev služby UAC pre daný produkt:

  1. Do vyhľadávacieho poľa zadajte regeditvýraz a vo výsledkoch vyhľadávania vyberte položku Editor databázy Registry .

  2. V databáze Registry vyhľadajte a vyberte nasledujúci podkľúč:
    HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer

  3. V ponuke Upraviť ukážte na položku Nové a potom vyberte položku Hodnota DWORD.

  4. Zadajte SecureRepairPolicy názov hodnoty DWORD a potom stlačte kláves Enter.

  5. Kliknite pravým tlačidlom myši na položku SecureRepairPolicy a potom vyberte položku Upraviť.

  6. Do poľa Údaje hodnôt zadajte číslo 2 a vyberte tlačidlo OK.
    Editor databázy Registry zobrazujúci hodnotu databázy Registry SecureRepairPolicy

  7. V databáze Registry vyhľadajte a vyberte nasledujúci podkľúč:
    HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer

  8. V ponuke Upraviť ukážte na položku Nové a potom kliknite na položku Kľúč.

  9. Ako názov kľúča zadajte jednu z nasledujúcich hodnôt a potom stlačte kláves Enter:

    1. Pre Windows 11, verziu 25H2 alebo Windows 11, verziu 24H2: Ak máte nainštalované aktualizácie Windowsu vydané 26. marca 2026 alebo neskôr (zostavy operačného systému 26200.8116 a 26100.8116 alebo novšie), napíšteSecureRepairAllowlist.
    2. Pre všetky ostatné verzie Windowsu: Typ SecureRepairWhitelist.

    Upozornenie

    Ak používate Windows 11 verzie 24H2 alebo 25H2 (zostavy OS 26200.8116 a 26100.8116 alebo novšie) a HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer\SecureRepairWhitelist už existuje, nepoužívajte súčasne kľúče databázy Registry SecureRepairAllowlista SecureRepairWhitelist. Ak kľúč databázy Registry SecureRepairWhitelistuž existuje, odporúčame vám vykonať nasledujúce kroky:

    • Podľa vyššie uvedeného postupu vytvorte kľúč databázy Registry SecureRepairAllowlist.
    • Skopírujte všetky hodnoty reťazcov obsiahnuté v zozname SecureRepairWhitelista pridajte ich do kľúča databázy Registry SecureRepairAllowlist, ako je popísané nižšie.
    • Potom odstráňte kľúč databázy Registry SecureRepairWhitelist.

  10. Otvorte ju dvojitým kliknutím na kľúč SecureRepairAllowlist (alebo SecureRepairWhitelist).

  11. V ponuke Upraviť ukážte na položku Nové a potom kliknite na položku Hodnota reťazca. Vytvorte hodnoty reťazca obsahujúce kód produktu , ktorý ste si predtým poznačili (vrátane zložených zátvoriek {}) súborov MSI, ktoré chcete pridať do zoznamu povolených. NÁZOV hodnoty reťazca je KódProduktu a HODNOTA môže zostať prázdna.
    Snímka obrazovky s kódom produktu pridaným do databázy Registry