Microsoft ปล่อย .NET / .NET Framework May 2026 Servicing Update — แก้ 4 CVE สำคัญรวม EoP บน .NET Framework 3.5–4.8.1, รอบ Patch Tuesday พฤษภาคม
เย็นวันอังคารที่ 12 พ.ค. 2026 (ตี 1 ของวันพุธที่ 13 ตามเวลาไทย) Rahul Bhandari (Senior Program Manager) และ Tara Overfield (Senior Software Engineer) โพสต์รายงาน ”.NET and .NET Framework May 2026 servicing releases updates” ขึ้น devblogs.microsoft.com — รอบ servicing ประจำเดือนพฤษภาคมที่ตรงกับ Patch Tuesday วันที่ 12 พอดี
โพสต์รอบนี้ไม่ใช่ feature release ใหม่ แต่เป็นแพตช์ความปลอดภัยที่ทีม .NET ปล่อยพร้อม cumulative update ของ Windows — รวม 4 CVE ที่ developer ไทยควรกระจายไป IT/Ops ภายในวันที่ 13 พ.ค. โดยเฉพาะถ้ามี workload ที่ยังรัน .NET Framework รุ่นเก่า
4 CVE ที่แพตช์รอบนี้
ตารางที่ Rahul โพสต์ไว้:
| CVE | ประเภท | กระทบเวอร์ชันไหน |
|---|---|---|
| CVE-2026-32177 | Elevation of Privilege | .NET 10.0, 9.0, 8.0 และ .NET Framework 3.5, 4.6.2, 4.7, 4.7.2, 4.8, 4.8.1 |
| CVE-2026-35433 | Elevation of Privilege | .NET 10.0, 9.0, 8.0 |
| CVE-2026-32175 | Tampering | .NET 10.0, 9.0, 8.0 |
| CVE-2026-42899 | Denial of Service | .NET 10.0, 9.0, 8.0 |
ตัวที่น่ากังวลสุดคือ CVE-2026-32177 เพราะ scope ครอบคลุม .NET Framework 3.5–4.8.1 ซึ่งยังเป็น runtime หลักของเซิร์ฟเวอร์ Windows enterprise ในไทยหลายพันเครื่อง — โดยเฉพาะระบบ legacy ASP.NET WebForms, Windows Service, และ COM+ component ที่ยังย้ายไป .NET (Core) ไม่ได้ ตัว Framework รุ่น 3.5 ที่อยู่ในตารางบอกชัดว่าแม้ระบบเก่ามากก็โดน — IT team ต้องเช็คทั้ง Windows Server 2012 R2 (ที่ ESU) ขึ้นมาจนถึง Windows Server 2025
ส่วน CVE อีก 3 ตัวจำกัดอยู่ที่ .NET 10/9/8 (ก่อน Core line) — ถ้าใช้ container/Kubernetes ก็ต้อง rebuild image กับ base image ใหม่ที่มี 10.0.8 / 9.0.16 / 8.0.27
เวอร์ชันที่ปล่อย + ของอื่นที่เปลี่ยน
โพสต์ลิงก์ release notes 3 ไลน์: 10.0.8, 9.0.16, 8.0.27 — ทั้งหมดมี ASP.NET Core, Entity Framework Core, และ Runtime changelog แยกออกมา
ในคอมเมนต์มีนัก dev report ว่า package Microsoft.NETCore.App.Runtime.Mono.win-x64 หาไม่เจอบน nuget.org ทำให้ GitHub Actions pipeline fail — Rahul ตอบในเวลาเดียวกันว่า package 8.0.27 ขึ้น nuget.org แล้ว แต่ผู้ใช้รายเดียวกันยืนยันว่า build ยังพังอยู่ ณ เวลา 18 นาทีหลัง release → ถ้า build pipeline ใครพังเช้าวันที่ 13 บนเครื่อง CI ของไทย ลองตรวจ feed cache และ retry หลังจาก 24 ชม.
นอกจาก .NET (Core) แล้วยังมี .NET Framework May 2026 Updates ที่กระจายผ่าน Windows Update — โพสต์ไม่ระบุ KB number ในเนื้อ แต่แนะนำให้ดู release notes ของ .NET Framework เพื่อ KB เฉพาะ Windows build
บริบทใหญ่กว่า: Patch Tuesday May 2026
แพตช์รอบนี้เป็นส่วนหนึ่งของ Patch Tuesday เดือนพฤษภาคมที่ Microsoft แก้รวม 120 ช่องโหว่ (อ้างอิงสรุปจาก Cyber Security News และ BleepingComputer) — มี 29 RCE rated Critical, ครอบคลุม Windows Hyper-V, Windows Kernel, IKE, Azure Connected Machine Agent, M365 Copilot, GitHub Copilot, SQL Server, TCP/IP และ Visual Studio — ไม่มี zero-day in-the-wild รอบนี้ ทำให้ urgency น้อยกว่าเดือนที่มี active exploit แต่ภาพรวมยังเป็นรอบที่เน้น developer-facing tool อย่างชัดเจน (Copilot + VS + .NET)
มุมมอง AI Curator
รอบ servicing เดือนนี้ของ .NET ดูเรียบ ๆ แต่จริง ๆ มี signal สำคัญ 2 อย่างสำหรับทีม dev ไทย:
หนึ่ง — .NET Framework legacy ยัง bleed CVE อย่างต่อเนื่อง ปี 2026 หลายองค์กรไทย (เฉพาะอย่างยิ่งแบงก์, รัฐวิสาหกิจ, โรงพยาบาล) ยังพึ่ง .NET Framework 4.8 บน Windows Server เป็น core production CVE ที่ลากยาวมาถึง Framework 3.5 บอกชัดว่า Microsoft ยังออกแพตช์ให้ — แต่ไม่ได้แปลว่าควรอยู่ที่นั่นต่อไป ทุกครั้งที่ออก CVE EoP กับ Framework รุ่นเก่า คือสัญญาณว่าค่าใช้จ่ายในการ maintain (และความเสี่ยง compliance ตาม PDPA) สูงขึ้นเรื่อย ๆ ทีมที่ยังเลื่อน migration ออกไป ปี 2026 น่าจะเป็นปีตัดสินใจ — งบประมาณ 2027 ของหลายองค์กรไม่น่าจะรองรับการ maintain Framework เก่าได้อีก
สอง — Copilot/Coding agent vulnerability โผล่ในรอบเดียวกัน Patch Tuesday เดือนนี้มี CVE-2026-41109 ที่กระทบ GitHub Copilot + Visual Studio (security feature bypass) — รอบเดียวกันที่ .NET ปล่อย servicing บอกชัดว่า attack surface ของ developer environment ขยายขึ้น มากกว่าแค่ runtime ทีม security ในไทยที่เคยมอง dev tool เป็น “infrastructure ภายใน” ต้องปรับ mental model — Copilot/Cursor/Claude Code คือ agent ที่ตัดสินใจ generate code และ execute tool แทน dev ถ้า bypass security feature ได้ผ่าน prompt injection ก็เป็น lateral movement vector ที่ใหม่จริง ๆ บริษัทไทยที่เปิดใช้ Copilot Enterprise ควรเริ่มมี policy เกี่ยวกับ extension allow-list และ output sanitization บน VS/VS Code อย่างจริงจังในไตรมาสนี้
แหล่งข่าว:
อ่านเพิ่มในหมวด เครื่องมือนักพัฒนา
Betelgeuse รัน Qwen3.8 Flash Next ขนาด 68GB บน RTX 3060 กับแรม 16GB ส่วน Basalt วัดให้เห็นว่าเอนจินที่เร่งด้วยแฟล็กลัดทำให้โมเดลลืมของ
Betelgeuse ฟอร์ก llama.cpp ที่เปิดเมื่อ 31 ต.ค. ดึง expert จาก NVMe เข้า VRAM ตามต้องการ อ้าง 22 tok/s แบบไม่ทิ้ง expert แต่ README เตือนเองว่ายังทดลองและตัวเลขมาจากคนละรอบ วันเดียวกันผู้พัฒนา Basalt เผยผลวัดว่าแฟล็กเร่งความเร็วทำคุณภาพ Q8 ตกไปใกล้ Q2
กฎห้ามโคลนเกมของ Claude Code เริ่มกระทบงานจริง บริษัทรับทำเกมกระดานร้องงานลูกค้าหยุด แต่รายงานหลายชิ้นปนกับตัวกรองไซเบอร์คนละเรื่อง
ต่อจากที่เราพบกฎนี้ในไบนารี Claude Code ผู้ใช้เริ่มรายงานว่างานเชิงพาณิชย์ถูกปฏิเสธ และ Tom's Hardware กับ Mashable หยิบไปรายงาน แต่เมื่อไล่ issue ที่อ้างถึง พบว่าหลายรายการเกิดก่อนกฎจะมา จึงน่าจะเป็นตัวกรองด้านไซเบอร์ ส่วน Anthropic ยังไม่ชี้แจง
Claude Code ส่ง transcript ของ background agent ให้โมเดลทุก ~30 วินาทีเพื่อเขียนสถานะ 3–5 คำ ผู้วัดรายงานกินราว 16% และยังปิดแบบทางการไม่ได้
รายงานอิสระพบว่าฟีเจอร์ agent_summary ของ Claude Code ส่ง transcript เต็มของ background agent ไปถามสถานะทุก ~30 วินาที คิดเป็น 16.4% ของค่าใช้จ่ายในระบบของผู้วัด Issue เปิดมาตั้งแต่ ส.ค. ยังไม่มีสวิตช์ปิดที่รองรับ เราตรวจพบโค้ดนี้ใน 2.1.314 และพบกฎใหม่เรื่องเกมที่ไม่อยู่ใน changelog