AppXSVC forced to 'Automatic' on Server 2025 (W11 25H2 también afectado)

[noSign]

https://learn.microsoft.com/en-au/answers/questions/5660157/appxsvc-forced-to-automatic-on-server-2025

1. Descripción del problema

• Sistema afectado: Windows Server 2025 Standard/Datacenter. (En mi W25H2 también afectado)

• Causa: El problema apareció inmediatamente después de instalar KB5072033.

• Comportamiento del servicio: El Servicio de implementación de AppX (AppXSVC) está configurado permanentemente en modo de inicio "Automático".

• Impacto: Dado que AppXSVC suele estar configurado en modo "Manual" en entornos Windows Server, esta configuración provoca ciclos de parada/inicio continuos y que consumen muchos recursos, los cuales son detectados por soluciones de monitorización (por ejemplo, Zabbix).

[noSign]

Implementado.:

Services.msc
Nombre.:
Servicio de implementación de AppX (AppXSVC) (aparece en automático y no deja cambiar)


CMD (ADM)
sc qc AppXSVC

Si aperece TIPO_INICIO : 2 AUTO_START
El modo es automático

Powershell (adm)

Get-Service -Name AppXSVC | Select-Object Status,StartType

Si aperece Status StartType | Running Automatic
El modo es automático

Estas comprobaciones permiten confirmar si la actualización aplicó la configuración automática a una máquina.

Como no deja en services.msc cambiar a manual y tampoco con (acceso denegado)
CMD (adm)
sc config AppXSVC start= demand

Powershell (adm)
Set-Service -Name AppXSVC -StartupType Manual

Tampoco deja (acceso denegado)

La respuesta "Acceso denegado" confirma que el descriptor de seguridad del servicio AppXSVC se ha reforzado en esta actualización, restringiendo así el acceso de escritura a la cuenta NT SERVICE\TrustedInstaller.
Este es un mecanismo de protección común para los servicios principales del sistema operativo que evita la manipulación, pero en este contexto, le limita al comportamiento erróneo introducido por KB5072033.
Dado que los privilegios administrativos estándar son insuficientes para invocar el Administrador de Control de Servicios (SC) con esta ACL,
debe omitir las API de servicio estándar y modificar la configuración directamente en el Registro de Windows, asumiendo temporalmente la propiedad de la clave específica.

Para solucionar esto, abra el Editor del Registro (regedit.exe) como administrador y navegue a la ruta

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\AppXSVC

Probablemente no podrá editar los valores inmediatamente. Haga clic con el botón derecho en la carpeta AppXSVC (clave) en el panel izquierdo, seleccione "Permisos" y, a continuación, haga clic en "Opciones avanzadas". En el campo "Propietario" haga clic en "Cambiar", escriba "Administradores" (plural) y aplique el cambio (aceptar --> aplicar el cambio).
Una vez que sea el propietario, vuelva a la ventana Permisos y otorgue al grupo "Administradores" "Control total" sobre la clave.

Con el acceso de escritura establecido, localice el valor DWORD "Inicio" en el panel derecho. Actualmente, estará configurado en 2 (Automático). Cambie este valor a 3 (Manual).
Este es el equivalente hexadecimal del tipo de inicio "Manual" estándar y evitará que el Administrador de Control de Servicios reinicie el servicio de forma agresiva tras un periodo de inactividad.

Una vez completada la modificación, es fundamental para la integridad del sistema restaurar los permisos originales. Regrese a Permisos > Opciones avanzadas > Configuración del propietario de la clave AppXSVC y cambie el propietario a NT SERVICE\TrustedInstaller (dar a comprobar nombres y reconoce como TrustedInstaller) Es posible que deba escribir el nombre completo exactamente como está escrito aquí. Finalmente, elimine la entrada explícita "Control total" que agregó para que los administradores restablezcan las ACL a su estado seguro predeterminado. No es estrictamente necesario reiniciar para que el cambio surta efecto, pero debería ver que el servicio AppXSVC se establece en estado "Detenido" inmediatamente sin reiniciar.

En mi caso.:

CMD (adm)
sc qc AppXSVC
aparece TIPO_INICIO : 3 DEMAND_START

Powershell (adm)
Get-Service -Name AppXSVC | Select-Object Status,StartType

Aparece Status StartType | Running Manual

[noSign]

Será una apreciación mía, pero hoy aplicando el trick, ha arrancado el SO en menos de medio minuto y antes pasaba del minuto. Ahora solo falta aplicar el trick de los NVMe