安装 2025 年 8 月 Windows 安全更新后运行 MSI 修复操作时出现意外的 UAC 提示

应用对象
Windows Server 2025 Windows Server 2022 Windows Server 2019 Windows Server 2016 Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 Windows Server 2008 Windows 11 version 25H2, all editions Windows 11 version 24H2, all editions Windows 11 version 23H2, all editions Windows 11 version 22H2, all editions Windows 10, version 22H2, all editions Windows 10, version 21H2, all editions Windows 10, version 1809, all editions Windows 10, version 1607, all editions Windows 10, version 1511, all editions

注意

  • 原始发布日期： 2025 年 9 月 9 日
  • KB ID： 5067315

重要

  • 2025 年 10 月 28 日及之后发布的 Windows 更新中包含一项改进，优化了用户帐户控制 (UAC) 提示要求，同时仍解决了安全漏洞 CVE-2025-50173。此改进解决了为某些应用（包括 Autodesk AutoCAD）创建意外的 UAC 提示的问题。
  • 在尝试本文中包含的解决步骤之前，请确保已安装最新的 Windows 更新，并检查最新更新是否解决了问题。
更改日志
更改日期 说明
3/26/2026 更新了涉及 SecureRepairAllowlistregistry 项的解决步骤。
11/24/2025 添加了有关 2025 年 10 月 28 日当天及之后发布的 Windows 更新的信息，这些更新解决了某些应用（例如 Autodesk AutoCAD）的此问题。

症状

从 2024 年 9 月 Windows 安全更新开始，Windows Installer (MSI) 开始要求用户帐户控制 (UAC) 在修复应用程序时提示你提供凭据。 2025 年 8 月 Windows 安全更新中进一步强制实施了此要求，以解决安全漏洞 CVE-2025-50173。

由于 2025 年 8 月更新中包含的安全强化，非管理员用户在运行某些应用时可能会遇到问题：

  • 启动 MSI 修复的应用在不显示用户界面的情况下无提示 () 将失败并显示错误消息。 例如，以非管理员身份安装和运行 Office Professional Plus 2010 将失败，并在配置过程中出现错误 1730。

  • 当 MSI 安装程序执行某些 自定义操作时，非管理员用户可能会收到意外的用户帐户控制 (UAC) 提示。 这些操作可能包括前台或后台的配置或修复操作，包括在应用程序的初始安装期间。 这些操作包括：

    • 运行 MSI 修复命令 (如 msiexec /fu) 。
    • 在用户首次登录应用后安装 MSI 文件。
    • 在智能安装过程中运行 Windows Installer。
    • 通过依赖于用户特定的“广告”配置的Microsoft Configuration Manager (ConfigMgr) 部署包。
    • 启用安全桌面。

解决方法

为了解决这些问题，2025 年 9 月 Windows 安全更新 (及更高版本更新) 缩小了要求 UAC 提示进行 MSI 修复的范围，并使 IT 管理员能够通过将特定应用添加到允许列表来禁用 UAC 提示。

安装 2025 年 9 月更新后，如果目标 MSI 文件包含提升 的自定义操作，则仅在 MSI 修复操作期间才需要 UAC 提示。 安装 2025 年 10 月 28 日及之后发布的 Windows 更新后，此要求将进一步细化，因此仅当在修复流期间执行提升的自定义操作时，才需要 UAC 提示。 因此，安装最新的 Windows 更新将解决不执行此类提升自定义操作的应用的此问题。

由于在 MSI 修复流期间执行提升自定义操作的应用仍需要 UAC 提示，因此在安装 2025 年 9 月更新后，IT 管理员将有权访问一种解决方法，该解决方法可以通过将 MSI 文件添加到允许列表来禁用特定应用的 UAC 提示。

如何将应用添加到允许列表以禁用 UAC 提示

警告

请注意，此选择退出方法实际上删除了这些程序的这种深度防御安全功能。

重要

本文包含有关如何修改注册表的信息。 确保先备份注册表，然后再对其进行修改。 请务必了解在出现问题时如何还原注册表。 有关如何备份、还原和修改注册表的详细信息，请参阅如何在 Windows 中备份和还原注册表。

在开始之前，需要获取要添加到允许列表的 MSI 文件的产品代码。 可以使用 Windows SDK 中提供的 ORCA 工具执行此操作：

  1. 下载并安装适用于 Windows Installer 开发人员的 Windows SDK 组件。
  2. 导航到 C：\Program Files (x86) \Windows Kits\10\bin\10.0.26100.0\x86 并运行 Orca-x86_en-us.msi。 这将安装 ORCA 工具 (Orca.exe) .
  3. 运行 Orca.exe.
  4. 在 ORCA 工具中，使用 “文件 > 打开 ”浏览到要添加到允许列表中的 MSI 文件。
  5. 打开 MSI 表后，单击左侧列表中的 “属性” ，记下 ProductCode 值。
    ORCA 工具的屏幕截图
  6. 复制 ProductCode。 稍后将需要使用。

获得产品代码后，请按照以下步骤禁用该产品的 UAC 提示：

  1. 在 “搜索 ”框中，键入 regedit，然后在搜索结果中选择 “注册表编辑器 ”。

  2. 在注册表中找到并选择以下子项：
    HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer

  3. 在“编辑”菜单上，指向“新建”，然后选择“DWORD 值”。

  4. 键入 SecureRepairPolicy DWORD 的名称，然后按 Enter。

  5. 右键单击 SecureRepairPolicy，然后选择“ 修改”。

  6. 在 “值数据 ”框中，键入 2，然后选择“ 确定”。
    显示 SecureRepairPolicy 注册表值的注册表编辑器

  7. 在注册表中找到并选择以下子项：
    HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer

  8. 在“编辑”菜单上，指向“新建”，然后单击“项”。

  9. 键入以下内容之一作为密钥的名称，然后按 Enter：

    1. 对于 Windows 11 版本 25H2 或 Windows 11 版本 24H2：如果已安装 2026 年 3 月 26 日或之后发布的 Windows 更新， (操作系统内部版本 26200.8116 和 26100.8116 或更高版本) ，请键入SecureRepairAllowlist.
    2. 对于所有其他版本的 Windows： 类型 SecureRepairWhitelist.

    警告

    如果正在使用 Windows 11 版本 24H2 或 25H2 (OS 内部版本 26200.8116 和 26100.8116 或更高版本) ，并且 HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer\SecureRepairWhitelist 已存在，请勿同时使用 SecureRepairAllowlist和 SecureRepairWhitelist注册表项。 如果 SecureRepairWhitelist注册表项已存在，我们建议你执行以下步骤：

    • 如上所述，创建 SecureRepairAllowlist注册表项。
    • 复制 SecureRepairWhitelist中包含的任何字符串值，并将其添加到 SecureRepairAllowlist注册表项，如下所述。
    • 然后删除 SecureRepairWhitelist注册表项。

  10. 双击 SecureRepairAllowlist (或 SecureRepairWhitelist) 密钥将其打开。

  11. 在“编辑”菜单上，指向“新建”，然后单击“字符串值”。 创建字符串值，其中包含你之前记下的 ProductCode (包括要添加到允许列表的 MSI 文件的大括号 {}) 。 字符串值的 NAME 是 ProductCode，该值可以留空。
    添加到注册表的产品代码的屏幕截图