Desde as atualizações de segurança aplicáveis lançadas em 13 de outubro de 2026, o Windows ativa por padrão a auditoria de volumes ReFS em mídias removíveis ou dispositivos conectados externamente. A Microsoft planeja ativar também o bloqueio padrão com a atualização de segurança de janeiro de 2027. A política abrange versões especificadas do Windows 10, Windows 11 e Windows Server, conforme o aviso de suporte da Microsoft.
Quais sistemas e volumes entram no escopo
A política se aplica a volumes ReFS em mídias removíveis, como discos USB, e em dispositivos conectados externamente. A Microsoft considera essa configuração não suportada.
No Windows 10, a lista inclui Enterprise LTSB 2016, Enterprise LTSC 2019, IoT Enterprise LTSC 2021 e a versão 22H2, em todas as edições. No Windows 11, abrange as edições especificadas da versão 22H2 (Home, Pro, Enterprise Multi-Session, Enterprise, Education e IoT Enterprise) e da 23H2 (SE, Home, Pro, Enterprise, Education e Enterprise Multi-Session), além das versões 24H2, 25H2 e 26H1, em todas as edições.
Também entram no escopo o Windows Server 2012 ESU, 2012 R2 ESU, 2016, 2019, 2022 e 2025. Portanto, o bloqueio de ReFS em USB no Windows 11 é apenas uma parte da política: a lista inclui outras versões do Windows e volumes em dispositivos externos que não são necessariamente pendrives.
Da auditoria ao bloqueio padrão planejado
Na fase iniciada com as atualizações aplicáveis lançadas a partir de 13 de outubro de 2026, a auditoria é padrão, mas o bloqueio não. A Microsoft planeja que a atualização de segurança de janeiro de 2027 ative por padrão tanto a auditoria quanto o bloqueio, a menos que um administrador altere a configuração.
No modo de bloqueio, o Windows impede a montagem do volume ReFS afetado, o que pode comprometer o acesso aos dados. A Microsoft recomenda identificar os fluxos de trabalho que dependem desses volumes e transferir os dados ou as cargas de trabalho necessários para armazenamento compatível antes da aplicação do bloqueio. Também recomenda testar a configuração em um ambiente controlado.
O que a auditoria registra e como ajustar a política
No modo de auditoria, o ReFS grava um aviso, evento 524, no log System. O evento é registrado uma vez por volume afetado a cada inicialização do sistema. O acompanhamento da auditoria cobre até 32 volumes externos afetados por inicialização; esse limite não restringe a aplicação do bloqueio.
A configuração RefsRemovableDeviceMountPolicy oferece três modos:
| Valor | Modo | Efeito |
0 | Off | Desativa a política. |
1 | Audit | Registra volumes afetados; é o padrão na fase de auditoria. |
2 | Block | Impede a montagem dos volumes afetados. |
A Política de Grupo prevalece sobre a configuração do Registro quando ambas estão definidas. A Microsoft indica HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies para a configuração por Política de Grupo e HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem para o Registro. É necessário reiniciar o dispositivo depois de alterar qualquer uma das configurações.
