Angolo di Windows Indice dei Contenuti
Un secondo problema segnalato dopo KB5064081 riguarda il sistema di installazione di pacchetti MSI: la maggiore rigidità nella richiesta delle credenziali amministrative può generare comportamenti imprevisti.
Nuova regola di sicurezza
L’aggiornamento di sicurezza di agosto 2025 introduce un rafforzamento significativo dei controlli legati alle operazioni di riparazione degli installer MSI, richiedendo che tali operazioni — comprese le riparazioni e alcune configurazioni post-installazione — richiedano sempre l’elevazione dei privilegi tramite un prompt di User Account Control (UAC) con credenziali amministrative.
Questa modifica è stata inserita per mitigare la vulnerabilità CVE-2025-50173, un problema di escalation di privilegi nel motore di Windows Installer che poteva consentire a un utente autenticato di ottenere privilegi di sistema non autorizzati.
A causa di questa maggiore rigidità, utenti standard possono ora ricevere prompt UAC inaspettati quando vengono eseguiti comandi di riparazione MSI (come msiexec /fu), quando un MSI viene installato dopo il primo accesso a un’applicazione, durante l’esecuzione di Windows Installer in Active Setup, e in altri scenari di manutenzione dell’installazione che in precedenza non richiedevano elevazione.
Microsoft ha riconosciuto che questo comportamento può causare disagi, poiché porta a richieste di autorizzazione amministrativa anche per operazioni che prima venivano eseguite in background senza interazione, e ha annunciato che gli aggiornamenti successivi ridurranno l’ambito di queste richieste e forniranno strumenti agli amministratori per permettere ad alcune applicazioni specifiche di evitare prompt indesiderati tramite meccanismi di allowlist o policy dedicate.
Quando si manifesta
Il prompt UAC inatteso può apparire in questi casi:
- Durante un comando di riparazione MSI (es.
msiexec /fu) - All’apertura di app installate tramite MSI (es. versioni di AutoCAD, Civil 3D, Inventor CAM)
- All’installazione di un MSI dopo un primo login
- Quando un’installazione “per user” viene aggiornata o configurata via strumenti come ConfigMgr (Microsoft Configuration Manager)
- Durante operazioni attivate da Active Setup o configurazioni di deployment
Se un utente standard (non amministratore) tenta di eseguire queste operazioni senza i giusti privilegi, l’installazione / configurazione può fallire con errore 1730 (o simili).
Cosa fare per ovviare
- Esegui installazioni e riparazioni MSI come amministratore (non come utente standard). Assicurati di accettare il prompt UAC.
- Se un software tenta una “riparazione in background” (es. all’avvio), verifica che sia compatibile con la nuova policy di sicurezza.
- Considera di aggiornare le versioni software se gli sviluppatori rilasciano build compatibili con le nuove regole di UAC.
Perché la misura è giusta, anche se scomoda
Anche se può risultare fastidioso, il cambiamento aumenta la sicurezza del sistema e riduce il rischio che installazioni MSI maligne o modificate vengano eseguite in background senza autorizzazione. Meglio un prompt inaspettato che un exploit attivo.
