Microsoftは2026年10月13日以降のWindows向けセキュリティ更新で、USB接続の外付けドライブなど、リムーバブル媒体に保存されたReFSボリュームの監査を開始した。2027年1月のセキュリティ更新からは、対象ボリュームのマウントを既定で拒否する予定だ。これまで問題なく読み書きできていた外付けドライブでも、更新後にデータへアクセスできなくなる可能性がある。もともとリムーバブル媒体でのReFSの使用はMicrosoftのサポート対象外だったが、今回の変更によって、その制限がWindowsの標準動作として強制されることになる。対象となる環境では、設定変更によって従来の動作を維持するか、サポートされるストレージ構成へデータを移行するかを、事前に判断する必要がある。

AD

2027年1月から外付けReFSのマウントを既定で拒否

Microsoftが公開したサポート文書「KB5130741」によると、今回の変更はサポート対象となっているすべてのWindowsプラットフォームに適用される。Windows 11だけでなく、Windows Serverを利用する企業や組織も対象だ。ただし、実際に適用される更新プログラムはOSによって異なるため、管理者は使用中のWindowsのバージョンと更新状況を確認する必要がある。Microsoftは、業務への影響を事前に把握できるよう、監査とブロックを二段階に分けて導入する。

更新時期 既定の動作 利用者・管理者への影響
2026年10月13日のセキュリティ更新 対象のReFSボリュームを監査。ブロックは既定で無効 イベントログから対象機器を特定し、業務への影響を調査できる
2027年1月のセキュリティ更新 監査とブロックを既定で有効化 管理者が設定を変更しない限り、対象ボリュームのマウントが拒否される

ここで注意したいのは、2027年1月1日になった瞬間に外付けReFSが使えなくなるわけではないことだ。マウントを拒否する既定動作への切り替えは、2027年1月のセキュリティ更新に伴って実施される。また、2026年10月の更新ではブロックが既定で無効になっているため、この段階で対象ドライブが一斉に使用不能になることもない。Microsoftは、まず監査機能で影響を受ける環境を特定し、必要な対策を講じたうえでブロックの導入に備えるよう求めている。

マウントとは、ストレージ上のボリュームをOSから利用できる状態にする処理を指す。今回の変更はこの処理を拒否するものであり、保存されたファイルを削除したり、ReFSボリュームを初期化したりするものではない。ただし、マウントできなければ通常の方法ではデータを読み書きできなくなるため、業務で利用している外付けドライブが突然使えなくなる可能性がある。変更の対象はあくまでリムーバブル媒体上のReFSボリュームであり、USB接続機器全般を禁止するものでも、内蔵ストレージ上のReFSを一律に無効化するものでもない。Microsoftはセキュリティの強化を目的としているが、KB5130741では特定の脆弱性番号や悪用事例、接続された機器を判定する詳細な仕組みまでは明らかにしていない。

イベントID「524」で影響を受けるドライブを特定

影響を受ける環境を調べる際に重要となるのが、Windowsのイベントログに記録されるReFSの警告イベント「524」だ。Microsoftによると、リムーバブルまたは外部接続のストレージ上で、サポート対象外の構成とみなされるReFSボリュームが検出されると、Systemログにこのイベントが記録される。管理者はイベント524を確認することで、2027年1月の更新後にマウントが拒否される可能性のあるドライブを特定できる。監査期間中に対象機器を洗い出しておけば、実際にアクセスできなくなる前にデータの移行や運用方法の変更を検討できる。

ただし、イベントの記録方法には制限がある。Microsoftの説明では、警告イベントはシステムの起動ごとに、対象ボリュームにつき1回記録される。また、1回の起動で監査対象として追跡できるのは最大32ボリュームまでとなっている。この32という数字は監査機能の追跡上限であり、マウント拒否が適用されるボリューム数の上限ではない。

多数の外付けドライブを扱う環境では、この違いが重要になる。監査ログに記録されるボリューム数が上限に達していても、それ以外の対象ボリュームが将来のブロックから除外されるわけではない。そのため、イベント524が記録されていないことだけを根拠に、特定のドライブが影響を受けないと判断するのは適切ではない。ログによる監査に加え、実際に使用しているストレージの接続方法やファイルシステムを確認する必要がある。

例えば、外付けReFSドライブをデータの持ち運びやバックアップに使用している場合、単にドライブを一覧化するだけでは十分ではない。どのPCやサーバーに接続され、どのアプリケーションや業務が保存されたデータに依存しているかまで把握することが重要だ。Microsoftも、監査期間中に対象となる機器、業務、アプリケーションを特定し、必要なデータや処理をサポート対象のストレージ構成へ移行することを推奨している。

AD

外付けReFSは以前からサポート対象外、2022年にも問題が発生

今回の変更を理解するうえでは、ReFSボリュームをマウントできることと、Microsoftがその構成を正式にサポートしていることを区別する必要がある。実際、外付けUSBドライブなどのリムーバブル媒体でReFSを使用する構成は、以前からサポート対象外とされてきた。Microsoftのサポート文書「KB5010691」には、2022年1月11日の更新後、ReFSでフォーマットされたリムーバブルボリュームをマウントできなくなったり、RAW形式として認識されたりする問題が記録されている。同文書では、USB接続の外付けドライブを含むリムーバブル媒体が、ReFSのサポート対象外であることも明記されていた。

2022年の問題に対しては、同年1月17日に帯域外更新が提供され、ReFSバージョン2以降を対象とする解決策が案内された。ただし、これは当時発生した障害への対応であり、リムーバブル媒体でのReFS利用が正式にサポートされるようになったわけではない。今回の変更は、監査期間を設けたうえでマウント拒否を既定動作として導入する計画的な措置であり、2022年の障害とは性質が異なる。過去の更新でマウントできる状態に戻ったからといって、今後も同じ構成を使い続けられるとは限らない。

MicrosoftのKB5130741とKB5010691、さらにReFSの公式概要を照らし合わせると、今回の変更では「マウントできるか」「サポートされるか」「監査に記録されるか」という三つの観点を分けて考える必要がある。

判断項目 Microsoftの公式資料で確認できる内容 運用上の注意点
マウントできるか 2027年1月の更新で対象ボリュームを既定で拒否。管理者による設定変更は可能 実際にアクセスできるかは更新状況と適用ポリシーによって変わる
サポートされるか リムーバブル媒体のReFSは従来からサポート対象外 過去に利用できたことやブロックの解除は、正式なサポートを意味しない
監査に記録されるか 起動ごとに対象ボリュームにつき1回記録。追跡対象は最大32ボリューム ログは影響調査の手掛かりであり、記録がないことだけでは対象外と判断できない

ReFSは、データの可用性や信頼性、大規模ストレージへの対応を重視して設計されたファイルシステムだ。メタデータにチェックサムを使用し、オプションでファイルデータにもチェックサムを適用できるほか、記憶域スペースのミラーやパリティ構成と組み合わせることで、破損を検出した際に別のコピーから自動修復する機能も備えている。しかし、こうしたデータ保護機能があることと、USB接続の単体ドライブを持ち運んで使用する構成がサポートされることは別問題だ。ReFSが持つ信頼性向上の仕組みだけを理由に、サポート対象外の構成を使い続けることは推奨できない。

Windows Server向けの公式ドキュメントでは、ReFSの対応構成について、使用するハードウェアやアプリケーションにも一定の条件を設けている。ベーシックディスクなどの例では、リムーバブルではないローカル接続ストレージが想定されており、バックアップ先として利用する場合にも、アプリケーションやハードウェア側の耐障害性、可用性などが条件となる。したがって、外付けドライブを内蔵ストレージに移せば、必ずすべてのサポート要件を満たせるというわけでもない。移行先を決める際には、ファイルシステムだけでなく、ストレージ構成や使用するアプリケーションまで含めて確認する必要がある。

ブロックの解除は可能だが、Microsoftは対応構成への移行を推奨

今回のマウント制限は、RefsRemovableDeviceMountPolicyというレジストリ値で制御する。値の種類はDWORDで、0が無効、1が監査、2がブロックを意味する。Microsoftの公式文書では、設定表に監査を既定値として記載している一方、導入スケジュールでは2027年1月の更新以降、監査とブロックが既定で有効になると説明している。そのため、設定表の既定値だけを見て、2027年1月以降もマウントが許可されると判断しないよう注意が必要だ。

設定の保存先は、グループポリシーとローカルのレジストリで異なる。Microsoftが示す設定場所は、グループポリシー側がHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies、ローカル側がHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystemだ。両方に設定値が存在する場合はグループポリシーが優先されるため、組織によってポリシーが配布されている環境では、ローカル側の値だけを変更しても期待した動作にならない。また、いずれの方法で設定を変更した場合も、反映にはWindowsの再起動が必要となる。

Microsoftが推奨するのは、まず対象のWindows更新を適用して監査ログを確認し、影響を受けるストレージや業務を特定することだ。そのうえで、必要なデータやアプリケーションをサポート対象のストレージ構成へ移し、管理された環境でブロック時の動作を検証する。特に、業務で使用するデータについては、2027年1月の制限が適用される前に、対応するストレージから正常にアクセスできる状態を確保しておく必要がある。

管理者がポリシーを変更すれば、外付けReFSボリュームへのアクセスを維持する選択肢は残されている。ただし、ブロックを解除しても、そのストレージ構成がMicrosoftの正式なサポート対象になるわけではない。今後のWindows更新でも同じ動作が維持される保証はなく、長期的な運用を考えれば、サポートされる構成への移行が基本的な対策となる。

今回の変更で重要なのは、2027年1月の更新後に外付けReFSドライブを再びマウントできるかどうかだけではない。これまで利用できていた構成がWindowsの既定動作によって制限される以上、必要なデータを継続して利用できる環境を、事前に整えておくことが求められる。イベント524による監査で影響範囲を把握し、業務上の依存関係を確認したうえで、対応するストレージへの移行と動作検証を進めることが重要だ。