Depuis les mises à jour de sécurité applicables publiées à partir du 13 octobre 2026, l’audit des volumes ReFS détectés sur des supports amovibles ou connectés en externe est activé par défaut sur les versions de Windows concernées. Microsoft prévoit d’activer aussi le blocage par défaut avec la mise à jour de sécurité de janvier 2027 : les volumes visés ne pourront alors plus être montés, sauf si un administrateur modifie le réglage.
Quelles versions de Windows sont concernées ?
La règle s’applique à des versions et éditions précises de Windows 10, Windows 11 et Windows Server, pas à toutes les installations de ces systèmes. Microsoft vise les volumes ReFS détectés sur un support amovible ou connecté en externe. Un périphérique USB n’entre dans ce périmètre que si son volume utilise ReFS et remplit l’une des conditions de détection. Les volumes NTFS ne sont pas visés par cette règle.
| Famille de Windows | Versions et éditions listées par Microsoft |
| Windows 10 | Enterprise LTSB 2016 ; Enterprise LTSC 2019 ; IoT Enterprise LTSC 2021 ; version 22H2, toutes éditions |
| Windows 11 | Version 22H2 : Home et Pro, Enterprise Multi-Session, Enterprise et Education, IoT Enterprise ; version 23H2 : SE, Home et Pro, Enterprise et Education, Enterprise Multi-Session ; versions 24H2, 25H2 et 26H1, toutes éditions |
| Windows Server | 2012 ESU ; 2012 R2 ESU ; 2016 ; 2019 ; 2022 ; 2025 |
ReFS, pour Resilient File System, est un système de fichiers que Microsoft présente comme conçu pour favoriser la disponibilité des données, gérer de grands ensembles de données et préserver leur intégrité face à la corruption. Microsoft détaille les usages et les limites de ReFS.
Audit en cours, blocage prévu en janvier 2027
| Phase et calendrier | Comportement par défaut | Effet sur les volumes concernés |
| Mises à jour applicables publiées à partir du 13 octobre 2026 | Audit activé ; blocage non activé par défaut | Windows consigne les volumes ReFS détectés sur les supports externes concernés. |
| Mise à jour de sécurité de janvier 2027 | Audit et blocage activés par défaut | Les volumes répondant à l’une des conditions de détection sont bloqués au montage, sauf modification du réglage par un administrateur. |
L’audit produit un avertissement ReFS, événement 524, dans le journal Système. Windows en consigne un par volume concerné et par démarrage. Le suivi d’audit peut enregistrer jusqu’à 32 volumes externes par démarrage ; cette limite ne restreint pas l’application du blocage.
Le blocage agit sur le montage du volume et peut donc empêcher l’accès aux données qu’il contient. Microsoft conseille aux administrateurs de rendre les données nécessaires disponibles sur un stockage pris en charge avant d’appliquer la règle. L’avis officiel de Microsoft précise le calendrier, les systèmes visés et les réglages de la politique.
Les réglages disponibles pour les administrateurs
Le paramètre RefsRemovableDeviceMountPolicy accepte trois valeurs : 0 pour désactiver la politique, 1 pour l’audit (valeur par défaut) et 2 pour le blocage. Il peut être configuré par la Stratégie de groupe ou dans le Registre.
Dans le Registre, la valeur se trouve sous HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem. L’emplacement associé à la Stratégie de groupe est HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies. Si les deux définissent le paramètre, la Stratégie de groupe est prioritaire. Un redémarrage est nécessaire après toute modification.
Les objectifs annoncés par Microsoft
Microsoft dit vouloir mieux repérer les configurations ReFS externes non prises en charge et réduire l’exposition de Windows. La phase d’audit doit aussi laisser aux organisations le temps d’identifier les appareils, applications et processus qui dépendent de ces volumes avant l’activation prévue du blocage par défaut.
