Microsoft prevede di attivare per impostazione predefinita il blocco dei volumi ReFS su supporti rimovibili o collegati esternamente con l’aggiornamento di sicurezza di gennaio 2027. Per gli aggiornamenti applicabili rilasciati dal 13 ottobre 2026, invece, l’audit è già predefinito: registra i volumi interessati senza bloccarli automaticamente.
Quali volumi ReFS riguarda la modifica
ReFS, acronimo di Resilient File System, è il file system interessato dalla nuova policy. Microsoft considera non supportato l’uso di ReFS su supporti rimovibili e ha esteso i controlli ai volumi montati da dispositivi collegati esternamente. L’obiettivo dichiarato è migliorare la sicurezza di Windows rendendo visibili queste configurazioni e offrendo un modo per impedirne il montaggio.
La modifica riguarda questa configurazione di archiviazione. Microsoft non ha annunciato la dismissione di ReFS negli altri scenari.
Quando sono previsti audit e blocco predefinito
Gli aggiornamenti applicabili rilasciati dal 13 ottobre 2026 impostano l’audit come predefinito. Con l’aggiornamento di sicurezza di gennaio 2027, Microsoft pianifica di rendere predefiniti sia l’audit sia il blocco. La data indicata da Microsoft è il mese, non un giorno preciso.
Durante la fase di audit, Windows registra i volumi ReFS rilevati su supporti rimovibili o collegati esternamente. Il blocco impedisce invece a questi volumi di essere montati. Prima della fase di blocco, Microsoft consiglia agli amministratori di assicurarsi che i dati necessari siano disponibili su supporti supportati. La nota di Microsoft descrive ambito, pianificazione e configurazione della policy.
Quali versioni di Windows sono incluse
La lista di Microsoft comprende versioni specifiche di Windows 10 e Windows Server, oltre a Windows 11. Non basta quindi controllare i soli PC con Windows 11.
- Windows 10: Enterprise LTSB 2016, Enterprise LTSC 2019, IoT Enterprise LTSC 2021 e versione 22H2, in tutte le edizioni.
- Windows 11: 22H2 nelle edizioni Home, Pro, Enterprise, Education e IoT Enterprise, oltre a Enterprise Multi-Session; 23H2 nelle edizioni SE, Home, Pro, Enterprise ed Education, oltre a Enterprise Multi-Session; 24H2, 25H2 e 26H1, in tutte le edizioni.
- Windows Server: 2012 ESU, 2012 R2 ESU, 2016, 2019, 2022 e 2025.
Queste indicazioni aiutano chi amministra una rete a includere nel controllo anche i sistemi Windows 10 e i server interessati.
Come funzionano la policy e il registro di audit
La policy RefsRemovableDeviceMountPolicy prevede tre valori:
| Valore | Impostazione |
0 | Disattivato |
1 | Audit |
2 | Blocco |
Gli amministratori possono configurarla tramite Criteri di gruppo o registro di Windows. Se entrambe le impostazioni sono configurate, prevalgono i Criteri di gruppo; dopo una modifica è necessario riavviare il sistema. Microsoft indica HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies per la configurazione dei Criteri di gruppo e HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem per l’impostazione nel registro. In entrambi i percorsi il valore DWORD si chiama RefsRemovableDeviceMountPolicy.
L’audit genera un avviso ReFS, Evento 524, nel registro eventi di Windows, sezione Sistema. L’evento viene registrato una volta per ogni volume interessato a ogni avvio. Il sistema traccia fino a 32 volumi esterni per avvio durante l’audit; questo limite riguarda la registrazione e non limita l’applicazione del blocco.
Che cosa succede ai dati sui supporti interessati
Il blocco può impedire l’accesso ai dati presenti su un volume ReFS interessato. PCWorld riferisce che la modifica non elimina automaticamente i file, ma che inizialmente Windows non può accedervi. PCWorld riporta inoltre che i supporti formattati in FAT32, exFAT e NTFS non rientrano in questa specifica restrizione.
