Se a atualização cumulativa de abril de 2025 (KB5055523) para o Windows 11 24H2 insiste em permanecer em “reinicialização pendente”, exibir erros 0x80070306 / 0x800f0831 ou provocar loops de boot, este guia detalhado mostra por que isso ocorre e como resolver, passo a passo, sem arriscar seus dados.
Visão geral do problema
- A instalação trava indefinidamente em “Reinicialização pendente”, volta a 100 % com “Retry” ou falha com 0x80070306 / 0x800f0831.
- Alguns PCs reiniciam repetidamente, ficam em tela preta ou apresentam códigos de erro no painel da placa‑mãe.
- Máquinas que executam o driver
sprotect.sys(SenseShield / Citrix Session Recording Agent) recebem um Safeguard Hold, bloqueio imposto pelo Windows Update.
Por que a KB5055523 falha?
A Microsoft sinalizou poucos detalhes formais, mas relatos de administradores, fóruns técnicos e testes de laboratório apontam os fatores abaixo.
- Componentes do Windows Update corrompidos – pastas SoftwareDistribution e Catroot2 com arquivos inconsistentes impedem a aplicação do pacote.
- Windows Sandbox habilitado – conflito de montagem do contêiner que bloqueia o ciclo de instalação.
- Safeguard Hold oficial – PCs com
sprotect.syssão barrados para evitar telas azuis e perda de sessão remota. - Fatores pontuais – BIOS ou drivers antigos, ordem de boot alterada após falhas, antivírus sobrecarregando o processo de verificação.
Soluções passo a passo
Siga a sequência a seguir. Avançar etapas prematuramente aumenta o risco de corromper arquivos de sistema.
| Nº | Ação | Resultado típico |
|---|---|---|
| 1 | Executar o Solucionador de Problemas do Windows Update Configurações → Sistema → Solução de Problemas → Outros. | Resolve casos simples; boa triagem inicial. |
| 2 | Redefinir componentes do Windows Updatenet stop wuauserv net stop cryptSvc net stop bits net stop msiserver ren %windir%\SoftwareDistribution SoftwareDistribution.old ren %windir%\System32\catroot2 Catroot2.old net start wuauserv net start cryptSvc net start bits net start msiserver | Ação com maior taxa de sucesso; exige Prompt como administrador. |
| 3 | Configurações → Sistema → Recuperação → “Reinstalar agora” (reparo via Windows Update). | Reinstala o pacote mantendo apps e arquivos; útil se a etapa 2 falhar. |
| 4 | Desativar o Windows Sandbox Painel de Controle → Programas → Ativar ou desativar recursos do Windows → desmarcar Windows Sandbox, reiniciar e clicar em “Retry”. | Muitos usuários relatam sucesso imediato. |
| 5 | Desmarcar “Receber as atualizações mais recentes assim que estiverem disponíveis” em Windows Update. | Força mecanismo de reparo e retoma downloads travados. |
| 6 | Instalação local (In‑place upgrade) com ISO oficial da mesma versão/idioma. | Solução definitiva quando erros persistem; mantém dados intactos. |
| 7 | Ambientes com Safeguard Hold • Verificar chave em HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\AppCompatFlags\• Não forçar atualização. • Atualizar/remover softwares que carregam sprotect.sys em laboratório. | Evita instabilidade grave; aguardar correção da Microsoft. |
Detalhes de cada correção
Executar o Solucionador de Problemas
Embora nem sempre remova a causa raiz, ele redefine políticas de grupo erradas e limpa downloads incompletos, poupando tempo antes de medidas mais invasivas.
Redefinir componentes manualmente
A troca das pastas SoftwareDistribution e Catroot2 força o Windows Update a baixar novamente arquivos .cab e .msu. Não exclua as pastas — renomeá‑las é mais seguro caso precise restaurar.
“Reinstalar agora” pelo Windows Update
Esse recurso baixa uma cópia limpa da build atual, repara arquivos do sistema e aplica patches pendentes. É menos demorado que o in‑place upgrade com ISO.
Desativar Windows Sandbox
O recurso depende do subsistema de contêineres. A KB5055523 atualiza binários do Hyper‑V; o processo falha se o contêiner estiver ativo durante a reinicialização. Após concluir a atualização, você pode reativá‑lo sem impacto.
In‑place upgrade
Baixe a ISO pelo Assistente de Instalação da Microsoft ou via uupdump.net (ferramentas confiáveis). Monte o arquivo, execute setup.exe, escolha “Manter arquivos e aplicativos” e prossiga. O processo demora de 30 a 60 min e resolve dependências ausentes.
Safeguard Hold: entenda o bloqueio
Desde 15 de abril de 2025, a Microsoft adicionou um Safeguard Hold contra PCs que usam sprotect.sys, driver instalado por:
- Citrix Session Recording Agent 2311 e anteriores;
- SenseShield Endpoint Protection;
- Soluções de DLP que derivam da mesma base de código.
Ao detectar o driver, o Windows Update define o valor Safeguard e exibe a mensagem “Seu dispositivo não está pronto para esta atualização”. Remover ou atualizar o software em ambiente de teste é a única forma de contornar — a Microsoft não recomenda forçar via Media Creation Tool, pois podem ocorrer BSOD em processos de Terminal Server.
Procedimentos avançados e paliativos
- Atualizar BIOS e drivers – microcódigos novos corrigem instabilidades de ACPI detectadas durante a fase de POST.
- Patch Tuesday seguinte – se nada funcionar, aguarde a cumulativa de maio de 2025 ou posterior; muitas vezes a Microsoft inclui setup upgrade compatibility fixes.
- Ciclo de energia completo – desligar, remover cabo, pressionar Power 30 s, reconectar; resolve estados SMBus indevidos que mantêm LEDs de erro.
- Verificar antivírus corporativo – temporariamente excluir %windir%\SoftwareDistribution\Download das varreduras em tempo real.
Perguntas frequentes
Posso usar ferramentas que “forçam” o Windows Update?
Não. Elas ignoram salvaguardas e podem deixar o sistema sem boot. Siga o fluxo suportado pela Microsoft.
O in‑place upgrade apaga meus arquivos?
Não, se você marcar “Manter arquivos e aplicativos”. Ainda assim, mantenha backup atualizado antes de qualquer procedimento.
Quanto tempo levará para a Microsoft remover o Safeguard Hold?
Depende da correção do fornecedor do driver. A Microsoft só libera a atualização após testes A/B demonstrarem estabilidade; acompanhe o portal Windows Release Health.
Erros 0x800705b4 ou 0x80240016 aparecem durante o download. É o mesmo problema?
Esses códigos indicam tempo‑limite ou interrupção na conectividade. Verifique firewall, proxy ou VPN antes de repetir os passos.
Boas práticas para evitar dores de cabeça
- Mantenha backups automáticos (Histórico de Arquivos ou OneDrive) antes de qualquer patch.
- Instale atualizações de firmware e drivers críticos logo após serem publicados pelo fabricante.
- Desative dispositivos USB pouco confiáveis durante o upgrade; controladores externos podem travar o setup.
- Para ambientes corporativos, aplique a atualização primeiro em grupo piloto usando o Windows Update for Business.
- Monitore o Event Viewer (Logs de Instalação) para detectar falhas silenciosas e gerar relatórios para o suporte.
Conclusão
Embora a KB5055523 tenha causado transtornos em parte dos usuários do Windows 11 24H2, seguir uma metodologia estruturada reduz o tempo até a solução e evita reinstalações desnecessárias. Da limpeza do Windows Update ao in‑place upgrade, passando pela atenção ao Safeguard Hold, você agora tem um roteiro completo para atualizar seu sistema com segurança.