W aktualizacjach zabezpieczeń wydawanych od 13 października 2026 r. domyślnie działa audyt zewnętrznych woluminów ReFS. Microsoft planuje włączyć domyślne blokowanie ich montowania w aktualizacji ze stycznia 2027 r. Polityka obejmuje wskazane wersje Windows 10, Windows 11 i Windows Server, a jej szczegóły Microsoft opisał w komunikacie pomocy.
Które wersje Windows obejmuje polityka
Reguła dotyczy woluminów systemu plików ReFS (Resilient File System) na nośnikach wymiennych lub wykrytych na pamięci podłączonej zewnętrznie. Microsoft określa używanie ReFS na nośnikach wymiennych jako nieobsługiwaną konfigurację. Samo podłączenie dysku przez USB nie przesądza o blokadzie: jej przedmiotem są kwalifikujące się woluminy ReFS, a nie wszystkie nośniki USB czy dyski NTFS.
| Rodzina Windows | Wersje i edycje wymienione przez Microsoft |
| Windows 10 | Enterprise LTSB 2016; Enterprise LTSC 2019; IoT Enterprise LTSC 2021; wersja 22H2, wszystkie edycje |
| Windows 11 | Home i Pro, wersje 22H2 i 23H2; Enterprise i Education, wersje 22H2 i 23H2; Enterprise Multi-Session, wersje 22H2 i 23H2; IoT Enterprise 22H2; SE 23H2; wersje 24H2, 25H2 i 26H1, wszystkie edycje |
| Windows Server | 2012 ESU; 2012 R2 ESU; 2016; 2019; 2022; 2025 |
Zakres jest więc szerszy niż Windows 11. Lista dotyczy konkretnych wydań i edycji, nie każdej wersji systemów z tych rodzin.
Audyt już działa, blokadę zaplanowano na styczeń 2027 r.
| Etap i termin | Zachowanie domyślne | Skutek dla kwalifikujących się woluminów ReFS |
| Aktualizacje zabezpieczeń wydawane od 13 października 2026 r. | Audyt jest włączony; blokowanie nie jest domyślnym ustawieniem. | System rejestruje wykryte woluminy zewnętrzne. |
| Aktualizacja zabezpieczeń ze stycznia 2027 r. (plan) | Audyt i blokowanie mają być włączone domyślnie. | Wolumin spełniający jeden z warunków dotyczących nośnika zewnętrznego nie zostanie zamontowany, chyba że administrator zmieni właściwe ustawienie. |
W trybie audytu system zapisuje ostrzeżenie ReFS o identyfikatorze zdarzenia 524 w dzienniku System. Zdarzenie pojawia się raz dla każdego dotkniętego woluminu podczas danego uruchomienia systemu. Audyt śledzi do 32 takich woluminów na jedno uruchomienie, ale ten limit nie ogranicza późniejszego egzekwowania blokady.
Microsoft uzasadnia zmianę potrzebą zwiększenia widoczności nieobsługiwanych konfiguracji zewnętrznych, ograniczenia ekspozycji oraz dania organizacjom czasu na znalezienie zależnych od nich urządzeń, przepływów pracy i aplikacji.
Blokada dotyczy montowania i dostępu do danych
Po włączeniu blokady kwalifikujący się wolumin ReFS nie zostanie zamontowany, co może uniemożliwić dostęp do zapisanych na nim danych. Microsoft zaleca, by przed egzekwowaniem polityki potrzebne dane były dostępne na obsługiwanym nośniku. Skutek opisany przez firmę dotyczy montowania woluminu i dostępu do danych.
Jak administrator może zmienić ustawienie
Ustawienie RefsRemovableDeviceMountPolicy przyjmuje trzy wartości: 0 oznacza wyłączenie, 1 włącza audyt (to wartość domyślna), a 2 blokuje montowanie. Można je skonfigurować w Zasadach grupy lub w rejestrze. Odpowiednie lokalizacje to HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies dla Zasad grupy oraz HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem dla ustawienia rejestru.
Gdy wartość ustawiono w obu miejscach, pierwszeństwo mają Zasady grupy. Po zmianie któregokolwiek ustawienia trzeba ponownie uruchomić urządzenie, aby nowa konfiguracja zaczęła działać.
