Microsoftは2026年10月13日以降に公開するWindows更新プログラムから、ReFS(Resilient File System)に対する強化変更を始めました。セキュリティアドバイザリADV260001と、サポート記事KB5130741で案内されています。対象は、USBメモリや外付けドライブなどのリムーバブルメディア上に作られたReFSボリュームです。Microsoftは、こうした構成を「サポート対象外」と位置づけており、今回の変更で検出(監査)と、将来的なマウントの停止(ブロック)ができるようにします。
これは脆弱性の修正ではなく、構成を安全側に寄せる「ハードニング(強化)」の変更です。深刻度は「警告」、影響の種類はサービス拒否(DoS)で、悪用や一般公開は確認されていません。とはいえ既定の挙動が段階的に変わるため、該当する環境では事前の対応が要ります。
適用は2段階(10月は監査、2027年1月からブロック)
変更は、組織が対応する時間を取れるように段階的に入ります。
- 2026年10月の更新(監査の段階): リムーバブルメディア上のReFSを検出する「監査」が既定で有効になります。ブロックはまだ既定では無効です。監査期間を使って、影響する端末や業務を洗い出せます。
- 2027年1月の更新(適用の段階): 「監査」と「ブロック」が既定で有効になります。管理者が明示的に設定を変えない限り、リムーバブルメディア上のReFSボリュームはマウントされなくなります。
監査が有効なとき、対象のボリュームを検出すると、システムログに警告イベントが記録されます(ログはSystem、ソースはReFS、イベントIDは524、レベルは警告)。このイベントは、起動ごとにボリュームにつき1回記録されます。監査で追跡する外部ボリュームは1回の起動につき最大32件までですが、これは監査の上限で、ブロックの範囲を制限するものではありません。
影響する会社・しない会社
影響するのは、USBメモリや外付けHDD/SSDなどのリムーバブルメディアを、ReFSでフォーマットして使っている会社です。たとえば、バックアップの保存先として外付けドライブをReFSで運用しているようなケースが当てはまります。2027年1月以降、既定のままだとそのドライブがマウントできなくなり、中のデータを読めなくなるおそれがあります。
影響しないのは、パソコンやサーバーに内蔵したディスクでReFSを使っている会社、外付けドライブをNTFSやexFATで使っている会社です。多くの中小企業では、USBメモリや外付けドライブはNTFS/exFATが一般的なため、そもそも対象になりません。自社が該当するかどうかは、10月の更新を当てたあとにイベントID 524が出るかで確認するのが確実です。
情シスが今日やること
- 更新を当てる: 2026年10月13日以降のWindowsセキュリティ更新を、対象の端末・サーバーに適用します。全サポート対象のWindowsが対象です。
- 監視する: システムログで、ソースがReFS・イベントID 524の警告が出ていないかを確認します。出ていれば、その端末で外付け/USBのReFSが使われています。
- 洗い出して移す: 該当する業務(バックアップ先など)を把握し、2027年1月の既定ブロックまでに、データをサポート対象のストレージへ移します。内蔵ディスクのReFSへ移すか、外付けのまま使うならNTFSなどへ移行します。
- 設定を決める(必要なとき): すぐ移せない場合は、RefsRemovableDeviceMountPolicyで挙動を選べます。値は0=無効、1=監査(既定)、2=ブロックです。設定場所はグループポリシーがHKLM\SYSTEM\CurrentControlSet\Policies、レジストリ単体がHKLM\SYSTEM\CurrentControlSet\Control\FileSystemで、両方にある場合はグループポリシーが優先します。変更後は再起動が必要です。本番でブロックにする前に、検証環境で業務に支障が出ないかを確かめてください。
