Azure SDK Nisan 2026: Kritik Güvenlik Yaması ve Yenilikler
Her ay Azure SDK güncellemelerine bakarım, hatta bunu biraz rutin hâline getirdim diyebilirim. Nisan 2026 sürümü çıkınca ilk gözüme çarpan şey Cosmos DB tarafındaki güvenlik yaması öldü. Remote Code Execution açığı varmış… Yanı şaka değil, ciddi iş. Ama sadece bu da değil; AI Foundry ve AI Agents tarafında 2.0.0 stable sürümler de gelmiş. Gelin birlikte bakalım, çünkü bu kez olay sadece paket listesinden ibaret değil.
Cosmos DB 4.79.0: O RCE Açığı Gerçekten Kritikti
Bakın, açık konuşayım. Java deserializasyon zafiyetleri yeni bir mevzu değil, ama insanı yine de gafil avlayabiliyor. CWE-502 sınıfındaki bu açık, Cosmos DB Java kütüphanesinde CosmosClientMetadataCachesSnapshot, AsyncCache. DocumentCollection bileşenlerinde vardı; Microsoft da bu sürümde işi yarım bırakmamış, deserializasyonu tamamen JSON tabanlı serializasyona çevirmiş. Hani ne farkı var diyorsunuz, değil mi? Yanı yamadan biraz fazlası bu.
Çok konuştum, örnekle göstereyim.
Yanı, Geçen ay bir finans kuruluşunda Cosmos DB performans iyileştirmeu üstünde çalışıyorduk. Java SDK kullanıyorlardı, ben de güncellemeyi görünce müşteriyi aradım; lafı gevelemeden “Bunu yarın sabah deploy edin” dedim, çünkü RCE tarafında bir gün bile bazen fazla geliyor, hele finans işindeyseniz BDDK denetimi falan derken iş iyice sıkışıyor. Evet.
Java deserialization saldırıları, saldırganın uzaktan kod çalıştırmasına imkân tanır. Cosmos DB 4.79.0 bu sınıftaki tüm saldırı vektörlerini JSON-based serialization ile ortadan kaldırıyor. Eğer Java SDK kullanıyorsanız, bu güncellemeyi ERTELEMEYİN.
Açıkçası, Güvenlik yamasının yanında birkaç iş gören yenilik de gelmiş. N-Region synchronous commit desteği var; multi-region kurulumlarda veri tutarlılığı açısından bayağı can alıcı dürüyor, çünkü bölgeler arasında yazma akışı dağıldığında ufak gecikmeler bile can sıkabiliyor (özellikle prod ortamda bunu bir kez yaşayınca unutulmuyor). Bir de Query Advisor eklenmiş, sorgularınızı didik didik edip öneri veriyor; ha bir de CosmosFullTextScoreScope gelmiş ki hybrid search sorgularında BM25 istatistiklerinin kapsamını kontrol edebiliyorsunuz.
Bakın, burayı atlarsanız yazının kalanı anlamsız kalır.
Full-text arama ile vektör aramayı birlikte kullanan projelerde bu özellik fena değil. Burada, peki neden? Çünkü skor tarafını biraz daha görünür hâle getiriyor ve ince ayar yapmayı kolaylaştırıyor.
Eh, Türkiye’deki müşterilerimde Cosmos DB kullanımı son 2 yılda ciddi arttı. Hele bir de de e-ticaret. Fintech ekipleri global dağıtım kabiliyetleri yüzünden buna kayıyorlar; ama şey, çoğu ekip hâlâ.NET SDK tarafında kalıyor gibi geliyor bana. Java SDK kullanan Türk şirketleri daha az, yine de varlar ve onlar için bu sürüm acil sayılır; daha önce Cosmos DB Dynamic Data Masking: Veri Güvenliğinde Yeni Dönem yazımda güvenlik konusunu detaylıca anlatmıştım, bu güncelleme de o tarafta ekstra bir katman ekliyor.
AI Foundry 2.0.0: Mimarı Kırılım Noktası
Azure.AI.Projects NuGet paketi 2.0.0 stable sürümüne çıktı. Ama dur, bu öyle sıradan bir versiyon artışı değil; içeride baya mimarı oynama var, hatta ilk bakışta küçük görünen şeyler migration tarafında biraz uğraştırabiliyor.
Evaluations. Memory operasyonları artık ayrı namespace’lere taşınmış: Azure.AI.Projects.Evaluation ve Azure.AI.Projects.Memory. İlk anda “niye ayırıyorlar ki” diye düşündüm, sonra oturdu; çünkü projelerde herkes evaluation kullanmıyor, herkes memory de kullanmıyor, yanı işin aslı bu ayrım paket şişmesini azaltıyor. Peki bunu neden söylüyorum? Dependency yönetimini biraz daha temiz hâle getiriyor — valla güzel iş çıkarmışlar —
İsimlendirme Değişiklikleri
Şunu fark ettim: Burada birkaç tip yeniden adlandırılmış. Lafı gevelemeden tabloyu koyayım,. Migration yapacaksanız elinizin altında dursun; yoksa tek tek arayıp bulmak insanı gereksiz yoruyor.
| Eski İsim | Yeni İsim | Notlar |
|---|---|---|
| Insights | ProjectInsights | Proje bazlı prefix eklendi |
| Schedules | ProjectSchedules | Aynı mantık |
| Evaluators | ProjectEvaluators | Evaluation namespace’ine taşındı |
| Trigger | ScheduleTrigger | Daha açıklayıcı işim |
| Boolean propertyler | Is* convention | IsEnabled, IsActive vb. |
Boolean property’lerin Is* convention’a geçmesi aslında.NET dünyasında yeni bir şey değil, hani yıllardır ortada duran bir alışkanlık; (eh, fena değil). AI SDK tarafında da buna uyulması iyi olmuş. Geçen yıl bir projede Enabled mi olsun IsEnabled mı olsun diye ekip içinde kısa ama gereksiz bir tartışma yaşamıştık, şimdi Microsoft kendi tarafında standardı netleştirince o konu da kapanmış gibi dürüyor.
Bi saniye — Peki bu breaking change’ler kurumsal tarafta neye dönüşüyor? Küçük bir startup ortamında 2.0.0’a geçiş çoğu zaman 1-2 saatlik find-replace işi gibi görünür; ama enterprise tarafta onlarca servis birbirine bağlıysa, CI/CD pipeline’ları devreye giriyorsa. Integration testleri yarım yamalak bırakılmıyorsa, iş biraz uzuyor — önce staging’de denemek, sonra testleri koşturmak, en son production’a çıkmak daha akıllıca olur.
Acele etmeyin. Cidden.
Zaten 1.x serisi hemen deprecated olmayacak gibi görünüyor; yanı elinizi çabuk tutmanız gerekiyor. Panik yapmanız gerekmiyor.
Neyse, çok dağıtmadan şuraya bağlayayım: AI Foundry ile proje geliştiren ekipler için Foundry Agent’a MCP ile Özel Araç Bağlamak yazımda MCP entegrasyonunu anlatmıştım. O yazıdaki kodlar 1.x serisine dayanıyordu, dolayısıyla yakında önü da güncellemem gerekecek gibi dürüyor.
Evet.
Araya gireyim: Sız ne dersiniz?
AI Agents 2.0.0 Java: GA Geldi Ama Dikkat
Bak şimdi, Java Azure AI Agents kütüphanesi sonunda GA öldü. Güzel haber, evet. Ama 2.0.0 ile birlikte birkaç breaking change de gelmiş, hani API tarafını daha tutarlı yapmak için yapılmış değişiklikler bunlar.
En çok gözüme çarpan şey şu öldü: birçok enum tipi klasik Java enum‘dan çıkıp ExpandableStringEnum tabanlı sınıflara dönmüş (bizzat test ettim). Peki neden? Şöyle düşünün — standart enum’lar compile-time’da kilitli kalıyor, yanı sunucu tarafında yeni bir değer eklenirse SDK’yı beklemek zorunda kalıyorsunuz; ExpandableStringEnum işe biraz daha rahat davranıyor, yeni değer geldiğinde güncelleme yapmadan önü kullanabiliyorsunuz, açık konuşayım bu yaklaşım baya iş görüyor. Bu konuyla ilgili Codex Kurumsal Ölçekte: Ne Vaat Ediyor, Ne Eksik? yazımıza da göz atmanızı tavsiye ederim. Bu konuyla ilgili Kubernetes’te AI Agent Sandbox: Pratik Rehber yazımıza da göz atmanızı tavsiye ederim.
*Param sınıfları da *Parameter olarak yeniden adlandırılmış. MCPToolConnectorId artık McpToolConnectorId; yanı PascalCase düzenine çekilmiş. Küçük gibi dürüyor. Java dünyasında isimlendirme işi bazen gereksiz görünür, sonra bir bakarsınız her yerde aynı tutarlılık yüzünden kod okumak kolaylaşmış. Bir de beginUpdateMemories için yeni bir convenience overload eklenmiş, işte o da günlük kullanımda eli biraz rahatlatıyor.
İşte tam da bu noktada devreye giriyor.
İlk Stable ve Beta Sürümler: Kim Neye Baksın?
Bilmem anlatabiliyor muyum, Her Azure SDK release’inde paket sayısı bir anda kabarıyor. Hepsine tek tek dalınca insanın kafası hafif karışıyor, o yüzden ben burada biraz ayıklama yapayım; en çok işinize yarayacak olanları çekip çıkaralım. Kubernetes AI Gateway WG: AI Trafiği Artık Standart yazımızda bu konuya da değinmiştik.
Stable Sürümler
Şöyle söyleyeyim,.NET tarafında Provisioning – Network ve Private DNS 1.0.0 ile GA olmuş. Eğer Infrastructure as Code yapıyorsanız ve Azure Provisioning SDK’yı kullanmayı düşünüyorsanız, network ve DNS kaynaklarını da artık bu çatıdan yönetebiliyorsunuz; hani küçük bir detay gibi dürüyor ama pratikte baya fark ediyor. Java tarafında Azure Stack HCI 1.0.0 gelmiş, edge computing işiyle uğraşan ekipler için fena değil. Go tarafında da Policy 1.0.0 var.
İşte tam da bu noktada devreye giriyor.
Beta Sürümler — Böl Böl Provisioning
Bu ay beta tarafı epey kalabalık, hatta ilk bakışta biraz dağınık dürüyor..NET’te API Management, Batch, Compute, Monitör, MySQL. Security Center için Provisioning paketleri beta’ya girmiş; Management tarafında işe App Network, Domain Registration ve Resources.Policy betaları var. JavaScript tarafında AI Speech Transcription 1.0.0-beta.1 dikkat çekiyor — konuşma metne çevirme işi olan projeleriniz varsa göz atılır.
Go tarafında Alert Processing Rules, Alert Rule Recommendations ve daha birkaç management paketi beta’ya girmiş (ki bu çoğu kişinin gözünden kaçıyor). Python’da da AI Speech Transcription beta’sı var.
Şimdi şey diyeceğim: bu beta paketlerinin çoğu enterprise müşteriler için hâlâ erken olabilir. Ama mesela Provisioning – Compute ya da Provisioning – Monitör gibi paketler GA olduğunda, Terraform’a alternatif olarak ciddi ciddi masaya koyarsınız; ben açıkçası öyle bakıyorum (en azından benim deneyimim böyle). 2024’te bir telekom projesinde Terraform ile Azure altyapısını yönetiyorduk, o sırada Azure Provisioning SDK henüz tam oturmamıştı, şimdi işe paket sayısına bakınca Microsoft’un bu alanı yavaş yavaş büyüttüğü net görünüyor. Kubernetes’te Production Debug Güvenliği: Rehber yazımızda bu konuya da değinmiştik.
Türkiye Perspektifi: Bu Güncellemeler Bizi Nasıl Etkiliyor?
Araya gireyim: Türkiye’deki şirketler açısından birkaç noktayı net söyleyeyim. Hani ne farkı var diyorsunuz, değil mi? Cosmos DB tarafındaki güvenlik yaması acil, evet; özellikle PCI-DSS ya da ISO 27001 isteyen ortamlarda, bilinen bir RCE açığını öylece bırakmak audit sırasında baş ağrısı çıkarıyor, KVKK denetimlerinde de “bu açığı ne kadar hızlı kapattınız” sorusu artık gayet normal geliyor.
Şahsen, İkincisi biraz daha sessiz ilerliyor ama boş değil. AI Foundry ve AI Agents 2.0.0 sürümleri Türkiye’de hâlâ çok yaygın değil, fakat bu durum değişiyor; 2025 sonundan beri özellikle büyük bankalarla sigorta şirketleri Azure AI servislerine yoklamaya başladı ve bu 2.0.0 sürümleri de açıkçası “artık ciddiye alın” diyor — API daha oturmuş, mimarı toparlanmış, production’da kullanılır hâle gelmiş — valla güzel iş çıkarmışlar —
Üçüncüsü ve bence en kritik olanı şu: SDK güncellemelerini takip etmek Türkiye’de hâlâ biraz ihmal ediliyor (kendi tecrübem). Birçok ekip “çalışıyorsa dokunma” kafasında eski versiyonlarda kalıyor, hani kısa vadede rahat gibi dürüyor ama sonra güvenlik açığı, performans kaybı, uyumsuzluk derken iş uzuyor; benim tavsiyem aylık olarak Azure SDK release notlarına göz atmanız, yamaları geciktirmemeniz. Yeni özellikleri de sprint planına serpiştirmeniz olur.
Bir dakika — bununla bitmedi.
Maliyet tarafını da atlamayalım. Azure SDK güncellemeleri fiyat etiketini doğrudan değiştirmiyor, ama dolaylı etkisi var; mesela Cosmos DB’deki Query Advisor özelliği optimize edilmemiş sorguların RU tüketimini düşürmeye yardım ediyor (bazı senaryolarda baya iş görüyor), ben bir müşteride sadece sorgu düzenleyerek Cosmos DB maliyetini %25 aşağı çekmiştim — ufak gibi duran araçlar bazen en çok parayı oradan kurtarıyor. Bulut Maliyet Optimizasyonu: Hâlâ Geçerli Prensipler yazımda bunu biraz daha açmıştım.
Pratikte Ne Yapmalısınız?
Tamam, epey konuştum. Peki yarın sabah ne yapacaksınız? Kısa kısa gidelim, çünkü burada teori değil iş lazım:
- Cosmos DB Java SDK kullanıyorsanız: 4.79.0’a geçin. Bu güvenlik yaması beklemez, açık konuşayım, ertelenince can sıkıyor. — ciddi fark yaratıyor
- Azure.AI.Projects kullanıyorsanız: 2.0.0 migration rehberine bakın, staging’de deneyin. Hemen production’a atlamayın; önce bir yoklayın, sonra karar verin.
- Java AI Agents kullanıyorsanız: ExpandableStringEnum değişikliğini anlayın, enum karşılaştırmalarınızı tek tek kontrol edin, çünkü orada küçük görünen şey bazen sessizce patlıyor.
- Provisioning SDK’larını takip edin: Beta paketler GA olunca onları Terraform alternatifi gibi masaya koyabilirsiniz, ama önce neyi çözdüğüne bakın; her parlak şey iyi fikir olmuyor.
- Genel olarak:
dotnet list package --outdatedya da Maven/Gradle dependency check komutuyla paketlerinize göz atın. Basit dürüyor, evet, ama çoğu ekip bunu en sona bırakıyor.
Ha, bir de şu var. Bu kadar breaking change (söylemesi ayıp) çıkan bir release’te integration testleriniz zayıfsa iş zorlaşır; test coverage düşükse önce test yazın, sonra upgrade’e geçin (aksi hâlde production size ters köşe yapar), ben bunu 2021’de bir projede SDK upgrade’i sonrası serialization hatası yüzünden 4 saat downtime yaşayarak öğrendim — itiraf edeyim, beklentimin üstündeydi —. O günden beri upgrade öncesi test yazmak benim için kırmızı çizgi öldü.
Evet.
Sıkça Sorulan Sorular
Cosmos DB 4.79.0 güvenlik yamasını uygulamazsam ne olur?
CWE-502 sınıfında bir RCE açığı açıkta kalıyor, yanı saldırganlar uzaktan kod çalıştırabiliyor. Aslında — hayır dur, daha doğrusu internet’e açık Cosmos DB endpoint’leriniz varsa risk gerçekten çok ciddi. Bence bu yamayı bekletmeden bir an önce uygulamanız şart.
AI Foundry 1.x’ten 2.0.0’a geçiş zor mu?
Namespace değişiklikleri ve tip yeniden adlandırmaları var, ama bunların çoğu hani find-replace ile halloluyor. Asıl dikkat etmeniz gereken şey, Evaluation ve Memory operasyonlarının ayrı paketlere taşınmış olması. NuGet referanslarınızı güncellemeniz gerekecek. Tecrübeme göre küçük projelerde 1-2 saat, büyük projelerde 1-2 gün ayırın yeter.
Bu güncellemeler.NET, Java ve Go dışındaki dilleri etkiliyor mu?
Evet, etkiliyor. JavaScript ve Python tarafında da yeni beta paketler mevcut mesela — özellikle AI Speech Transcription her iki platform için de beta’ya girdi. Daha açık söyleyeyim, go tarafında da bir sürü yeni management paketi var. Hangi dili kullanıyorsanız, Azure SDK Releases sayfasına bir göz atın.
Azure SDK güncellemelerini otomatik takip edebilir mıyım?
Tabii ki. Azure SDK Blog’ünün RSS feed’ine abone olabilirsiniz. Yanı bunun yanı sıra GitHub’daki azure-sdk repository’lerinde release notification da açabilirsiniz. Açıkçası en pratik yol, Dependabot ya da Renovate gibi araçlarla otomatik PR oluşturmak — bir kurun, gerisini unutun.
Provisioning SDK nedir, Terraform’dan farkı ne?
Açıkçası, Azure Provisioning SDK, altyapıyı doğrudan C#, Java veya Go koduyla tanımlamanızı sağlıyor. Terraform’dan farkı şu: ayrı bir DSL öğrenmek yerine zaten bildiğiniz dili kullanıyorsunuz. Henüz Terraform kadar olgun değil, ama hızla büyüyor. Bence özellikle.NET ekosistemindeyseniz kesinlikle bir bakın.
Kaynaklar ve İleri Okuma
Azure SDK Release – April 2026 (Resmî Blog Yazısı)
Doğrusu, Azure Cosmos DB Java SDK v4 Dokümantasyonu
Azure SDK Releases Sayfası – Tüm Paketler
İçeriği paylaş:
20+ yıl deneyimli Azure Solutions Architect. Microsoft sertifikalı bulut mimari ve DevOps danışmanı. Azure, yapay zekâ ve bulut teknolojileri üzerine Türkçe teknik içerikler üretiyor.
İlgili Yazılar
Bu içerik işinize yaradı mı?
Benzer içerikleri kaçırmamak için beni sosyal medyada takip edin.
0 comments