Azure SDK release เมษายน 2026 — แพตช์ RCE บน Cosmos DB Java SDK และ Azure.AI.Projects 2.0 GA ทั้งภาษา

Microsoft DevBlogs ปล่อย Azure SDK release ประจำเดือนเมษายน 2026 เมื่อ 21 เมษายน — release ครั้งนี้เน้น 2 เรื่องใหญ่: patch RCE บน Cosmos DB Java SDK และ Azure.AI.Projects เข้าสู่ 2.0.0 GA พร้อมการปรับโครงสร้าง namespace ทั้งระบบ

Cosmos DB Java SDK — แทนที่ Java deserialization ด้วย JSON

ไฮไลต์ด้านความปลอดภัยที่ใหญ่ที่สุดของ release นี้คือ Cosmos DB Java library ที่ปิดช่องโหว่ Remote Code Execution (RCE) จาก Java native deserialization

ก่อนหน้านี้ class ภายใน Cosmos SDK บางตัว — CosmosClientMetadataCachesSnapshot, AsyncCache, DocumentCollection — ใช้ Java built-in serialization สำหรับ snapshot และ cache ซึ่งเป็น attack vector ที่รู้จักดีในโลก Java (gadget chain, CVE หลายตัวในอดีต)

วิธีแก้: ย้ายไป JSON-based serialization ทั้งหมด — ลด attack surface ลงอย่างมีนัยสำคัญ และตามแนว defensive design ที่ Microsoft ใช้กับ component ใหม่ ๆ มาหลายปี

นอกจาก security fix Cosmos DB ยังเพิ่ม:

• N-Region synchronous commit — replicate write ข้าม region แบบ sync (latency เพิ่ม แต่ consistency strict)
• Query Advisor — แนะนำ index และ partition strategy ให้ query ที่ตรวจพบว่า expensive
• CosmosFullTextScoreScope — control scope ของ BM25 statistics ใน hybrid search query

Azure.AI.Projects 2.0 GA — ทั้ง 4 ภาษา

Azure.AI.Projects เป็น SDK หลักสำหรับเชื่อมกับ Azure AI Foundry — release นี้ขึ้นเป็น 2.0.0 stable ทั้ง .NET, Python, Java, JS/TS โดย target REST surface v1 ที่เป็น GA

การเปลี่ยนแปลงเชิงโครงสร้างที่สำคัญ:

1. Namespace แยกตามฟังก์ชัน

• Azure.AI.Projects.Evaluation — แยก evaluation ออกเป็น package แยก
• Azure.AI.Projects.Memory — memory operation ก็แยกออกมาเช่นกัน
• AIProjectClient กลายเป็น single entry point ของทุก operation

2. Type renaming เพื่อ consistency

• Insights → ProjectInsights
• Schedules → ProjectSchedules
• Evaluators → ProjectEvaluators
• Trigger → ScheduleTrigger

3. Boolean property ตาม convention Is* — เช่น Enabled กลายเป็น IsEnabled

4. azure-ai-agents dependency หายไป — ทุกฟังก์ชันย้ายเข้า AIProjectClient แล้ว ไม่ต้อง install package แยกอีกต่อไป

ผลกระทบสำหรับนักพัฒนาที่ใช้ 1.x: ต้องแก้ import และ rename type หลายจุด — แต่ Microsoft ระบุว่ามี migration guide แยกใน package readme

release อื่น ๆ ใน batch เดียวกัน

นอกจาก 2 ไฮไลต์ข้างบน Azure SDK ยังปล่อย package อื่น ๆ ในเดือนเมษายน:

• update เล็ก ๆ ใน Azure Identity (token caching improvement)
• bug fix ใน Azure Storage Blob (resilience ของ resumable upload)
• ปรับ retry policy default ใน Service Bus

รายละเอียดทั้งหมดของแต่ละ package ระบุไว้ในหน้า Azure SDK Releases (azure.github.io/azure-sdk)

มุมมอง AI Curator

release นี้ดูเรียบ ๆ แต่มี signal เชิงโครงสร้างที่น่าสังเกต 2 อย่าง

1. Microsoft จริงจังกับการตัด Java native deserialization ออกจาก surface

ทุกครั้งที่ Java SDK ของ Microsoft ปิด deserialization gadget — นี่คือ pattern ที่ทำมาหลาย package ในรอบ 2-3 ปี — เป็น signal ว่าทีม security ภายในจริงจังกับ “secure by default” มากกว่ายุค .NET Framework เดิม

ถ้าทีม dev ไทยที่ใช้ Cosmos DB Java SDK บน production: upgrade รอบนี้ไม่ใช่ optional — แม้ตอนนี้ยังไม่มี exploit public Java deserialization RCE เคยเป็น top 10 OWASP vulnerability หลายปี การ patch ก่อนเจอ exploit คือกฎพื้นฐาน

2. Azure.AI.Projects 2.0 = Microsoft set agent SDK เป็น standard ของ Foundry

Microsoft ค่อย ๆ บีบ ecosystem ของตัวเองให้ converge ที่ AIProjectClient เป็น entry point เดียว — เทียบเคียงได้กับสิ่งที่ Google ทำกับ Vertex AI SDK ในปี 2024-2025 ที่ค่อย ๆ deprecate package เก่า

ผลคือ developer experience จะดีขึ้นในระยะยาว (เรียน 1 SDK ใช้ได้ทุกอย่าง) แต่ระยะสั้นจะมี migration cost สูงกว่าค่าย Anthropic หรือ OpenAI ที่ SDK ค่อนข้าง stable มากกว่า

สำหรับทีม dev ไทยที่เลือก stack:

• ถ้าทีมเล็ก, project ระยะสั้น — OpenAI หรือ Anthropic SDK ยังเป็นทางเลือกที่ migration cost ต่ำสุด
• ถ้าใช้ Azure Foundry อยู่แล้ว — กัดฟัน migrate ไป 2.0 ก่อนที่ 1.x จะ EOL อย่างเร็วในช่วง Q3 2026 (Microsoft ปกติให้ window ราว 6 เดือน)
• ถ้ายังไม่ได้ตัดสินใจ — รอดู GA ของ Microsoft Agent Framework ที่จะออกในกลางปีนี้ ก่อนจะลงทุน learn AIProjectClient ให้ลึก เพราะอาจมี abstraction ใหม่ทับอีกชั้น

โดย overall release นี้สะท้อน maturity ของ Azure SDK ที่เริ่มเข้าสู่ “boring is good” — security patch ตามรอบ, package consolidation ตาม roadmap, breaking change มี migration guide ครบ — เป็นสภาพแวดล้อมที่ enterprise ไทยที่ใช้ Azure อยู่จริง ๆ น่าจะ appreciated

แหล่งข่าว

• Microsoft DevBlogs — Azure SDK Release (April 2026)
• Azure SDK Releases page
• Azure.AI.Projects 2.0.0 — NuGet Gallery