Запускать от имена администратора (msiexec /update путь_к_пакету), выключить UAG, поставить execution policy unrestricted на время патча.

Еще вспомнил забавную проблему, обновление не ставилось, а в логе были ошибки про невозможность верифицировать керберос тикет от контроллера домена… поправил днс на сервере - все встало на свои места 🙂