---
title: "«ساب» ترقّع ثغرةً خطورتها 10 من 10 قد ترسل بيانات اعتماد وكلاء الذكاء الاصطناعي إلى المهاجمين.. ونتائج الأعمال في 21 أكتوبر"
description: "سدّت «ساب» في يوم رقعها الأمني لشهر أكتوبر الثغرة CVE-2026-89111، وهي ثغرة سجّلت الدرجة الكاملة 10.0 على مقياس CVSS، وقادرة على تسليم بيانات اعتماد OAuth2 التي تستخدمها وكلاء «ساب» من الذكاء الاصطناعي داخل أنظمة العملاء إلى طرف خارجي. ويتداول السهم عند 28.6 ضعف الأرباح في رهان على تنفيذ وعود الذكاء الاصطناعي، على أن تصدر النتائج في 21 أكتوبر."
publisher: "The Inference"
section: "Safety"
published: 2026-10-14T17:18:14.208Z
modified: 2026-10-14T17:18:14.208Z
canonical: https://theinference.org/article/sap-patches-a-10-out-of-10-flaw-that-can-send-ai-agents-credentials-to-attackers-earnings-due-october-21/ar
language: ar
keywords: "Security, SAP, AI Agents, Enterprise Software, Earnings"
---

# «ساب» ترقّع ثغرةً خطورتها 10 من 10 قد ترسل بيانات اعتماد وكلاء الذكاء الاصطناعي إلى المهاجمين.. ونتائج الأعمال في 21 أكتوبر

> سدّت «ساب» في يوم رقعها الأمني لشهر أكتوبر الثغرة CVE-2026-89111، وهي ثغرة سجّلت الدرجة الكاملة 10.0 على مقياس CVSS، وقادرة على تسليم بيانات اعتماد OAuth2 التي تستخدمها وكلاء «ساب» من الذكاء الاصطناعي داخل أنظمة العملاء إلى طرف خارجي. ويتداول السهم عند 28.6 ضعف الأرباح في رهان على تنفيذ وعود الذكاء الاصطناعي، على أن تصدر النتائج في 21 أكتوبر.

## مُعامل واحد في الرابط كان يحمل المفاتيح

أصدرت [«ساب»](https://theinference.org/markets/companies/sap) في يوم رقعها الأمني لشهر أكتوبر 22 نشرة أمنية جديدة ومحدّثة بتاريخ 13 أكتوبر 2026، أربع منها مصنّفة «حرجة» [1]. وأخطرها [الثغرة CVE-2026-89111، وهي ثغرة تزوير طلبات من جانب الخادم سجّلت 10.0](https://nvd.nist.gov/vuln/detail/CVE-2026-89111) من 10 على مقياس الخطورة المعياري، وأُصلحت في الإصدار 0.45.2 من حزمة الأدوات السحابية للغة «بايثون»، وهي عدّة «ساب» الرسمية لبناء وكلاء الذكاء الاصطناعي وتطبيقات «بايثون» على سحابة منصة «ساب» للأعمال التقنية (Business Technology Platform) [1][2][4].

تستخدم الحزمة قيمة تحمل الاسم tenant_subdomain لتحديد العميل الذي ينتمي إليه الطلب. فإذا زُوّدت بقيمة مُعدّة بعناية، تبني الحزمة طلب الرمز المميز حولها، [فترسل معرّف التطبيق ومفتاحه السري في OAuth2](https://github.com/SAP/cloud-sdk-python/security/advisories/GHSA-4mv3-jxxm-9cx2) — وهما بيانات الاعتماد الدائمة التي تستخدمها البرمجيات للمصادقة على سحابة «ساب» — إلى خادم يسيطر عليه المهاجم [2]. ولا تتطلب العملية تسجيل دخول أو امتيازات أو خداعاً للمستخدم [3].

التوقيت يتقاطع مع المال مباشرة. يتداول سهم «ساب» عند 28.6 ضعف الأرباح، بسعر 220.10 دولار مقابل متوسط السعر المستهدف لدى المحللين البالغ 264.71 دولار، على أن تُعلن نتائج الربع الثالث بعد إغلاق السوق في 21 أكتوبر: [إجماع المحللين عند 2.04 دولار للسهم الواحد وإيرادات 11.45 مليار دولار](https://www.marketbeat.com/instant-alerts/upcoming-sap-sap-projected-to-announce-quarterly-earnings-on-wednesday-2026-10-14/)، بعد ربع يوليو الذي خيّب التوقعات بربحية 1.82 دولار مقابل تقدير 2.00 دولار [5].

## الإصلاح صدر في أغسطس وانتكس في سبتمبر

وصل فحص التحقق الذي يصدّ النطاقات الفرعية المُعدّة بعناية لأول مرة في 21 أغسطس ضمن الإصدار 0.45.2، وأُدرج حينها تحت بند «إصلاحات الأخطاء» من دون أي إشارة إلى الأمان، فيما صدرت النشرة الأمنية بعد 53 يوماً [6]. وقبل ذلك الإصدار، لم يكن أي إصدار من الحزمة يتضمن الفحص [6].

نقلت ستة إصدارات نُشرت بين 10 و18 سبتمبر، وترقيمها من 0.53.0 إلى 0.55.0، معالجة الرموز المميزة في وحدة خدمة «Destination» إلى شيفرة مشتركة جديدة تتجاوز الفحص [6]. أما إصداران على الفرع الأقدم 0.36، نُشرا بعد إصلاح أغسطس، فلم يحملاه قط [6].

لا تُدرج النشرة الأمنية أي إصدار أعلى من 0.45.2 ضمن المتأثرة، ولا توضح هي ولا ملاحظات الإصدار ما إذا كانت إصدارات سبتمبر الستة تندرج تحت هذه الثغرة، أو ما إذا كان على التطبيقات التي شغّلتها استبدال بيانات اعتمادها [6]. أما أحدث إصدار، 0.58.4، فيجتاز جميع الاختبارات الأحد عشر التي وضعتها «ساب» نفسها [6].

## أخطر ثغرات «ساب» تُستغل خلال أيام

تكتسب هذه الرقعة أهميتها من أن ثغرات «ساب» الحرجة الأخيرة لا تبقى نظرية. فثغرة أغسطس ذات الخطورة القصوى في «كوميرس كلاود» (Commerce Cloud) [رُصد استغلالها فعلياً بعد أيام من رقعها](https://www.bleepingcomputer.com/news/security/sap-warns-of-maximum-severity-oauth2-ssrf-security-flaw/) [4]. أما ثغرة سبتمبر CVE-2026-44756 فقد بقيت مكشوفة على أكثر من 10 آلاف نظام متصل بالإنترنت، بحسب إحصاء شركة الأمن السيبراني «أونابسيس» (Onapsis) التي أبلغت عنها [4]. وتحتفظ «سي آي إس إيه» (CISA)، وكالة الأمن السيبراني الأميركية، في فهرسها للثغرات المستغلة بـ14 ثغرة تخص «ساب» تعود إلى نوفمبر 2021، ثلاث منها مرتبطة ببرمجيات الفدية [4].

## العلاوة السعرية التي تطالها الثغرة

تحت الضجيج الأمني، يواصل نشاط «ساب» نموه المركّب: فقد تجاوزت الإيرادات مستواها في الربع المناظر من العام السابق على مدى 12 ربعاً متتالياً، وبلغت 11.2 مليار دولار في ربع يونيو [7]. وتأتي القراءة التالية مع تقرير نتائج 21 أكتوبر، فيما يتوقع المحللون إيرادات بقيمة 11.45 مليار دولار [5].

*Chart: **الإيرادات تتجاوز مستوى الربع المناظر من العام السابق على مدى 12 ربعاً متتالياً؛ والقراءة التالية في 21 أكتوبر** مخطط خطي للإيرادات الربعية لشركة «ساب» من الربع الثالث 2023 حتى الربع الثاني 2026، مع نقطة تقديرية متقطعة للربع الثالث 2026 عند 11.45 مليار دولار، ويُظهر اتجاهاً صاعداً على امتداد الفترة.*

*الإيرادات الربعية بمليارات الدولارات كما أُودعت لدى لجنة الأوراق المالية والبورصات الأميركية (SEC)، بأرباع السنة الميلادية. رقم الربع الثالث 2026 التقديري هو إجماع المحللين وفق MarketBeat، وليس رقماً معلناً. [5][7]*

## لا هجمات محددة حتى الآن و21 أكتوبر موعد تسعير العلاوة

لم يُؤكَّد أي استغلال للثغرة الجديدة، وهي غير مدرجة في فهرس «سي آي إس إيه» [8]. وقد [أصدرت «ساب» رقعة وحلاً بديلاً](https://www.securityweek.com/sap-patches-critical-netweaver-s-4hana-vulnerabilities/)، عبارة عن قائمة سماح بالنطاقات الفرعية للمستأجرين المسجلين [2]. ويستند السيناريو المتفائل إلى نمو الرصيد السحابي الجاري (current cloud backlog) بنسبة 26 في المئة، أي العقود السحابية الموقعة التي لم تُسجَّل بعد ضمن الإيرادات، وإلى «جول» (Joule)، مساعد «ساب» الذكي الذي تُفيد التقارير بأنه يرفع الإنتاجية بنسبة تصل إلى 20 في المئة [5]. غير أن أياً من الرقمين لا يستعيد بيانات اعتماد سبق أن وصلت إلى الخادم الخطأ.

وتترك النشرة الأمنية لكل عميل قرار استبدال بيانات الاعتماد التي ربما تكون قد انكشفت [6]. وأي تطبيق لا يزال يعمل بإصدار غير مُرقَّع قد تصل بيانات اعتماد وكيله إلى خادم المهاجم عبر معامل واحد معدّ بعناية [2]. وكان السهم يتداول بالفعل عند مستوى أدنى بنسبة 27 في المئة من ذروته التي سجلها في سبتمبر، وسط شكوك حول خارطة طريق الذكاء الاصطناعي، فيما يستمر برنامج لإعادة شراء الأسهم في الخلفية [9].

قراءتان تحسمان ملامح الأسبوع: هل تُستغل ثغرة CVE-2026-89111 خلال أيام من رقعها كما حدث مع ثغرة «كوميرس كلاود» في أغسطس، وهل يُظهر تقرير النتائج في 21 أكتوبر أن إيرادات السحابة هي ما يتحمل العلاوة السعرية [4].

## Takeaway

ثغرة بدرجة 10.0 على مقياس CVSS في حزمة «ساب» للأدوات السحابية بلغة «بايثون» قد ترسل بيانات اعتماد OAuth2 الخاصة بوكلاء الذكاء الاصطناعي إلى خادم يسيطر عليه المهاجم؛ رقّعتها «ساب» في 13 أكتوبر، وسجلها يقول إن الثغرات الحرجة تُستغل خلال أيام، فيما تسعّر نتائج 21 أكتوبر علاوة الذكاء الاصطناعي عند 28.6 ضعف الأرباح.

## Sources

1. [SecurityWeek, "SAP Patches Critical NetWeaver, S/4HANA Vulnerabilities", 13 October 2026](https://www.securityweek.com/sap-patches-critical-netweaver-s-4hana-vulnerabilities/)
2. [SAP GitHub security advisory GHSA-4mv3-jxxm-9cx2, "OAuth2 SSRF vulnerability in SAP Cloud SDK for Python", published 13 October 2026](https://github.com/SAP/cloud-sdk-python/security/advisories/GHSA-4mv3-jxxm-9cx2)
3. [US National Vulnerability Database, "CVE-2026-89111 Detail", published 12 October 2026](https://nvd.nist.gov/vuln/detail/CVE-2026-89111)
4. [BleepingComputer, "SAP warns of maximum severity OAuth2 SSRF security flaw", 13 October 2026](https://www.bleepingcomputer.com/news/security/sap-warns-of-maximum-severity-oauth2-ssrf-security-flaw/)
5. [MarketBeat, "SAP (SAP) Projected to Announce Quarterly Earnings on Wednesday", 14 October 2026](https://www.marketbeat.com/instant-alerts/upcoming-sap-sap-projected-to-announce-quarterly-earnings-on-wednesday-2026-10-14/)
6. [The Hacker News, "SAP Discloses Critical CVSS 10 Flaw in Cloud SDK for Python Allowing OAuth2 Credential Theft", 13 October 2026](https://thehackernews.com/2026/10/sap-discloses-critical-cvss-10-flaw-in.html)
7. [SAP SE, quarterly figures from its SEC filings, retrieved 14 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001000184)
8. [Rescana, "Critical CVE-2026-89111 SSRF Vulnerability in SAP Cloud SDK for Python Threatens SAP BTP OAuth2 Security", 14 October 2026](https://www.rescana.com/post/critical-cve-2026-89111-ssrf-vulnerability-in-sap-cloud-sdk-for-python-threatens-sap-btp-oauth2-security)
9. [ad-hoc-news, "SAP's Patch Day Flags Two Critical Holes as Buyback Presses On and the Stock Sits 27% Under Its Peak", 11 September 2026](https://www.ad-hoc-news.de/boerse/news/unternehmensnachrichten/sap-s-patch-day-flags-two-critical-holes-as-buyback-presses-on-and-the-stock-sits-27-prozent-under/70088516)


---

«ساب» ترقّع ثغرةً خطورتها 10 من 10 قد ترسل بيانات اعتماد وكلاء الذكاء الاصطناعي إلى المهاجمين.. ونتائج الأعمال في 21 أكتوبر — The Inference. Canonical: https://theinference.org/article/sap-patches-a-10-out-of-10-flaw-that-can-send-ai-agents-credentials-to-attackers-earnings-due-october-21/ar