Microsoft prévoit d’activer par défaut l’audit et le blocage des volumes ReFS montés depuis des supports amovibles ou connectés en externe avec la mise à jour de sécurité de janvier 2027. Pour les mises à jour concernées publiées à partir du 13 octobre 2026, l’audit est activé par défaut.
Une restriction ciblée sur les supports externes
ReFS, pour Resilient File System, est le système de fichiers concerné par cette mesure. Microsoft qualifie son utilisation sur un support amovible de configuration non prise en charge. La règle vise les volumes ReFS montés depuis un support amovible ou connecté en externe, et Microsoft présente cette évolution comme un renforcement de la sécurité de Windows, grâce à une meilleure visibilité sur ces configurations et à des contrôles pour empêcher leur montage. Les administrateurs peuvent consulter les consignes de Microsoft sur le durcissement de ReFS sur les supports amovibles.
Le déploiement distingue audit et blocage
La première étape consiste à signaler les volumes concernés. La mise à jour de sécurité de janvier 2027 doit ensuite activer par défaut l’audit et le blocage. Microsoft indique le mois, sans préciser de jour dans son calendrier.
Les versions de Windows citées par Microsoft
La liste d’applicabilité comprend certaines éditions de Windows 10, Windows 11 et Windows Server. Les versions et éditions indiquées par Microsoft sont :
- Windows 10 : Enterprise LTSB 2016, Enterprise LTSC 2019, IoT Enterprise LTSC 2021 et version 22H2, toutes éditions.
- Windows 11 : pour 22H2, Home, Pro, Enterprise Multi-Session, Enterprise, Education et IoT Enterprise ; pour 23H2, SE, Home, Pro, Enterprise, Education et Enterprise Multi-Session ; puis les versions 24H2, 25H2 et 26H1, toutes éditions.
- Windows Server : 2012 ESU, 2012 R2 ESU, 2016, 2019, 2022 et 2025.
Trois modes permettent de régler la stratégie
Le paramètre RefsRemovableDeviceMountPolicy propose trois valeurs :
| Valeur | Mode |
0 | Désactivé |
1 | Audit |
2 | Blocage |
Quand une stratégie de groupe et une valeur de registre sont toutes deux configurées, la stratégie de groupe prévaut. Un redémarrage est nécessaire après la modification de l’un ou l’autre réglage. Pour le paramètre lié à la stratégie de groupe, Microsoft indique le chemin HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies. Pour le réglage du registre, le chemin est HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem ; dans les deux cas, le nom de la valeur DWORD est RefsRemovableDeviceMountPolicy.
L’audit signale les volumes concernés dans le journal système
Windows consigne un avertissement ReFS, événement 524, dans le journal Système. Un événement est inscrit pour chaque volume concerné à chaque démarrage. L’audit suit jusqu’à 32 volumes externes concernés par démarrage ; cette limite porte sur le suivi de l’audit, pas sur l’application du blocage.
Microsoft avertit que le blocage peut empêcher l’accès aux données et recommande aux administrateurs de rendre les données nécessaires accessibles depuis un stockage pris en charge avant son application. PCWorld rapporte que le changement ne supprime pas automatiquement les fichiers, même si Windows ne peut alors plus y accéder. Selon PCWorld, les supports formatés en FAT32, exFAT ou NTFS ne sont pas visés par cette restriction précise.
