Depuis les mises à jour de sécurité Windows publiées à partir du 13 octobre 2026, l’audit des volumes ReFS sur supports amovibles ou périphériques connectés en externe est activé par défaut. Microsoft prévoit d’activer par défaut l’audit et le blocage avec la mise à jour de sécurité de janvier 2027. Cette règle concerne aussi des versions de Windows 10 et Windows Server, pas seulement Windows 11 ou les clés USB. Microsoft détaille le calendrier et les réglages de cette politique.
Microsoft présente ce changement comme un moyen d’améliorer la visibilité sur les configurations ReFS externes non prises en charge, de réduire l’exposition et de laisser aux organisations le temps de repérer leurs dépendances.
Quels systèmes et volumes sont concernés ?
La mesure vise les volumes ReFS sur des supports amovibles, comme les disques USB, ainsi que sur des périphériques connectés en externe. La liste de Microsoft comprend les éditions et versions suivantes :
- Windows 10 : Enterprise LTSB 2016, Enterprise LTSC 2019, IoT Enterprise LTSC 2021 et version 22H2, toutes éditions.
- Windows 11 : version 22H2 (Home, Pro, Enterprise Multi-Session, Enterprise, Education et IoT Enterprise) ; version 23H2 (SE, Home, Pro, Enterprise, Education et Enterprise Multi-Session) ; versions 24H2, 25H2 et 26H1, toutes éditions.
- Windows Server : 2012 ESU, 2012 R2 ESU, 2016, 2019, 2022 et 2025.
De l’audit au blocage prévu en janvier 2027
La première phase, déclenchée par les mises à jour concernées publiées à partir du 13 octobre 2026, active l’audit par défaut sans activer le blocage par défaut. Selon le calendrier annoncé par Microsoft, la mise à jour de sécurité de janvier 2027 activera par défaut les deux modes, sauf si un administrateur modifie le réglage applicable.
En mode Audit, ReFS inscrit un avertissement, l’événement 524, dans le journal Système. L’événement est enregistré une fois par volume concerné à chaque démarrage. Le suivi d’audit couvre jusqu’à 32 volumes externes concernés par démarrage ; cette limite porte sur le suivi, pas sur l’application du blocage.
Repérer les dépendances et gérer la stratégie
Microsoft recommande aux administrateurs d’examiner les événements d’audit, de repérer les flux de travail qui dépendent de ces volumes, de migrer les données ou charges nécessaires vers un stockage pris en charge, puis de tester le blocage dans un environnement contrôlé.
La stratégie RefsRemovableDeviceMountPolicy propose trois valeurs :
| Valeur | Réglage |
0 | Off (désactivé) |
1 | Audit |
2 | Block (blocage) |
Microsoft indique les emplacements HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies pour la configuration de stratégie de groupe et HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem pour le réglage du Registre. Lorsque les deux sont configurés, la stratégie de groupe prévaut. Un redémarrage de l’appareil est nécessaire après toute modification.
