Dal 13 ottobre 2026, gli aggiornamenti di sicurezza Windows interessati attivano per impostazione predefinita l’audit dei volumi ReFS su supporti rimovibili o dispositivi collegati esternamente. Microsoft prevede di attivare per impostazione predefinita anche il blocco con l’aggiornamento di sicurezza di gennaio 2027. La misura riguarda versioni specifiche di Windows 10, Windows 11 e Windows Server, non soltanto Windows 11 e le chiavette USB. Microsoft descrive calendario, sistemi interessati e controlli della policy.
Quali sistemi e volumi sono interessati
La regola riguarda i volumi ReFS rilevati su supporti rimovibili, come un disco USB, e su dispositivi collegati esternamente. Microsoft considera ReFS su supporti rimovibili una configurazione non supportata.
L’elenco comprende Windows 10 Enterprise LTSB 2016, Enterprise LTSC 2019, IoT Enterprise LTSC 2021 e Windows 10 versione 22H2, tutte le edizioni. Per Windows 11 include:
- la versione 22H2 nelle edizioni Home, Pro, Enterprise Multi-Session, Enterprise, Education e IoT Enterprise;
- la versione 23H2 nelle edizioni SE, Home, Pro, Enterprise, Education e Enterprise Multi-Session;
- le versioni 24H2, 25H2 e 26H1, tutte le edizioni.
Sono inclusi anche Windows Server 2012 ESU, 2012 R2 ESU, 2016, 2019, 2022 e 2025. Perciò chi gestisce dispositivi esterni in un ambiente misto deve controllare anche i sistemi Windows 10 e Windows Server elencati.
Dall’audit al blocco previsto
Nella fase avviata con gli aggiornamenti rilasciati dal 13 ottobre 2026, Windows registra per impostazione predefinita i volumi ReFS interessati, ma non li blocca automaticamente. Microsoft ha pianificato l’attivazione predefinita sia dell’audit sia del blocco con l’aggiornamento di sicurezza di gennaio 2027; un amministratore può modificare l’impostazione.
Il blocco impedisce al volume di essere montato, cioè reso accessibile da Windows. Microsoft indica che la misura serve a migliorare la visibilità sulle configurazioni ReFS esterne non supportate e a ridurre l’esposizione, lasciando alle organizzazioni il tempo di individuare eventuali dipendenze.
Che cosa registra l’audit
In modalità Audit, ReFS scrive un avviso con ID evento 524 nel registro di sistema (System). L’avviso viene registrato una volta per ogni volume interessato a ogni avvio del sistema.
Il tracciamento dell’audit copre fino a 32 volumi esterni interessati per avvio. Questo limite riguarda il tracciamento, non l’applicazione del blocco.
Come gestire RefsRemovableDeviceMountPolicy
La policy RefsRemovableDeviceMountPolicy ha tre valori:
| Valore | Significato |
0 | Off |
1 | Audit |
2 | Block |
Microsoft indica che Group Policy prevale sull’impostazione nel Registro quando entrambe sono configurate. Le posizioni riportate sono HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies per l’impostazione Group Policy e HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem per quella nel Registro. Dopo aver modificato una delle due impostazioni, occorre riavviare il dispositivo.
Per prepararsi al blocco pianificato, Microsoft raccomanda agli amministratori di esaminare gli eventi di audit, individuare flussi di lavoro che dipendono dai volumi interessati, migrare i dati o i carichi di lavoro necessari verso archiviazione supportata e provare il blocco in un ambiente controllato.
