Microsoft ha attivato l’audit predefinito dei volumi ReFS su supporti rimovibili o collegati esternamente negli aggiornamenti applicabili pubblicati dal 13 ottobre 2026; il blocco predefinito è previsto nell’aggiornamento di sicurezza di gennaio 2027. La misura interessa versioni specifiche di Windows 10, Windows 11 e Windows Server e può impedire il montaggio dei volumi coinvolti. Microsoft illustra la policy e le relative impostazioni.
ReFS, acronimo di Resilient File System, è il file system interessato dalla misura. Microsoft lo descrive come progettato per la disponibilità e l’integrità dei dati e per la resilienza alla corruzione; considera però non supportato il suo uso su supporti rimovibili, come un’unità USB.
Quali versioni di Windows sono incluse
L’elenco di Microsoft comprende edizioni e versioni precise, non tutte le versioni di ogni sistema operativo. La regola riguarda volumi ReFS rilevati su supporti rimovibili o collegati esternamente.
| Famiglia Windows | Versioni ed edizioni elencate da Microsoft |
| Windows 10 | Enterprise LTSB 2016; Enterprise LTSC 2019; IoT Enterprise LTSC 2021; versione 22H2, tutte le edizioni |
| Windows 11 | Home e Pro 22H2; Enterprise Multi-Session 22H2; Enterprise e Education 22H2; IoT Enterprise 22H2; SE 23H2; Home e Pro 23H2; Enterprise e Education 23H2; Enterprise Multi-Session 23H2; versioni 24H2, 25H2 e 26H1, tutte le edizioni |
| Windows Server | 2012 ESU; 2012 R2 ESU; 2016; 2019; 2022; 2025 |
Audit e blocco: le due fasi
Gli aggiornamenti di sicurezza applicabili rilasciati dal 13 ottobre 2026 attivano per impostazione predefinita l’audit dei volumi ReFS interessati. In questa fase il blocco non è attivo per impostazione predefinita. Microsoft prevede di attivare audit e blocco predefiniti nell’aggiornamento di sicurezza di gennaio 2027, salvo che un amministratore modifichi l’impostazione applicabile.
| Fase | Decorrenza | Comportamento predefinito | Effetto sui volumi interessati |
| Audit | Aggiornamenti di sicurezza applicabili rilasciati dal 13 ottobre 2026 | Audit attivo; blocco non attivo per impostazione predefinita | Rilevazione dei volumi ReFS su supporti esterni |
| Blocco | Aggiornamento di sicurezza previsto per gennaio 2027 | Audit e blocco attivi, salvo modifica dell’amministratore | Il volume che soddisfa una delle condizioni configurate per i supporti esterni viene bloccato al montaggio |
Gli avvisi di audit compaiono nel registro Sistema come avvisi ReFS, evento 524: Microsoft prevede un evento per ogni volume interessato a ciascun avvio del sistema. Il tracciamento di audit registra fino a 32 volumi esterni interessati per avvio; questo limite riguarda il monitoraggio e non limita l’applicazione del blocco.
Cosa succede ai dati
La policy interviene sul montaggio: un volume ReFS interessato può non essere montato e i dati al suo interno possono diventare inaccessibili tramite quel volume. L’effetto descritto è il blocco dell’accesso, non la cancellazione dei file. Microsoft raccomanda agli amministratori di rendere disponibili i dati necessari su archiviazione supportata prima di applicare il blocco.
Non si tratta di un divieto generale delle unità USB: la misura riguarda volumi ReFS su supporti rimovibili o collegati esternamente. Le unità NTFS non rientrano nell’ambito descritto per questa policy.
Impostazioni per gli amministratori
Il criterio RefsRemovableDeviceMountPolicy prevede tre valori: 0 per Disattivato, 1 per Audit (valore predefinito) e 2 per Blocca. Gli amministratori possono configurarlo tramite Criteri di gruppo o Registro. Le chiavi indicate da Microsoft sono HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies per i Criteri di gruppo e HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem per il Registro.
Se entrambe le sedi contengono un valore, prevalgono i Criteri di gruppo. Dopo una modifica è necessario riavviare il sistema.
Microsoft motiva l’intervento con una maggiore visibilità sulle configurazioni ReFS esterne non supportate, una riduzione dell’esposizione e una fase di audit che consenta alle organizzazioni di individuare le dipendenze prima dell’applicazione predefinita del blocco.
