SAP stopft Lücke mit Schweregrad zehn von zehn, die Zugangsdaten von KI-Agenten an Angreifer schicken kann; Zahlen am 21. Oktober
Mit dem Patchday im Oktober hat SAP die Lücke CVE-2026-89111 geschlossen: eine mit CVSS 10,0 bewertete Schwachstelle, die einem Außenstehenden die OAuth2-Zugangsdaten in die Hände spielen kann, mit denen SAPs KI-Agenten in Kundensystemen arbeiten. Die Aktie ist mit dem 28,6-Fachen des Gewinns bewertet – eingepreist sind die KI-Versprechen – und berichtet am 21. Oktober.
Vincent Jiang · 3 min read
Die Schlüssel steckten in einem einzigen URL-Parameter
Zum Patchday im Oktober hat SAP+1.11% — SAP, up 1.11 percent today am 13. Oktober 2026 insgesamt 22 neue und aktualisierte Sicherheitshinweise veröffentlicht, vier davon mit der Einstufung „kritisch“ 1. Die schlimmste davon ist CVE-2026-89111, eine Server-Side Request Forgery (SSRF) mit 10 von 10 Punkten auf der gängigen CVSS-Skala, behoben in Version 0.45.2 des Cloud SDK for Python – SAPs offiziellem Werkzeugkasten für den Bau von KI-Agenten und Python-Anwendungen auf der Cloud-Plattform Business Technology Platform 124.
Das SDK liest einen Wert namens tenant_subdomain aus, der festlegt, zu welchem Kunden eine Anfrage gehört. Übergibt man ihm einen präparierten Wert, baut das SDK seine Token-Anfrage um genau diesen Wert herum auf – und schickt die OAuth2-Client-ID und das Client-Secret der Anwendung, also die dauerhaft hinterlegten Zugangsdaten, mit denen sich Software in SAPs Cloud authentifiziert, an einen Server, den der Angreifer kontrolliert 2. Nötig sind dafür weder ein Login noch besondere Rechte noch getäuschte Nutzer 3.
Der Zeitpunkt hat es in sich – finanziell. SAP ist mit dem 28,6-Fachen des Gewinns bewertet, die Aktie notiert bei 220,10 Dollar gegenüber einem durchschnittlichen Analystenziel von 264,71 Dollar. Nach Börsenschluss am 21. Oktober legt der Konzern die Zahlen für das dritte Quartal vor: Konsens sind 2,04 Dollar je Aktie bei einem Umsatz von 11,45 Mrd. Dollar. Zuvor hatte das Juliquartal mit 1,82 Dollar je Aktie die Schätzung von 2,00 Dollar verfehlt 5.
Der Fix kam im August – und verschwand im September wieder
Der Prüfschritt, der präparierte Subdomains blockt, tauchte erstmals am 21. August auf – in Version 0.45.2, unter den Fehlerbehebungen gelistet und ohne jede Erwähnung von Sicherheit. Die offizielle Warnung folgte 53 Tage später 6. Vor dieser Version enthielt keine Ausgabe des SDK die Prüfung 6.
Sechs zwischen dem 10. und dem 18. September veröffentlichte Versionen, 0.53.0 bis 0.55.0, verlagerten die Token-Verarbeitung des Destination-Service-Moduls auf neuen, gemeinsam genutzten Code – und der übersprang die Prüfung 6. Zwei Versionen der älteren 0.36er-Reihe, die nach dem August-Fix erschienen, haben die Prüfung nie enthalten 6.
Die Warnung führt keine Version über 0.45.2 als betroffen auf. Weder sie noch die Release Notes sagen, ob die sechs Versionen aus September unter diese CVE fallen – oder ob Anwendungen, die sie laufen ließen, ihre Zugangsdaten austauschen sollten 6. Die neueste Version, 0.58.4, besteht alle elf hauseigenen Tests von SAP 6.
SAPs schlimmste Lücken werden binnen Tagen ausgenutzt
Der Patch hat Gewicht: SAPs jüngste kritische Lücken bleiben nicht Theorie. Die Commerce-Cloud-Lücke vom August mit dem Höchstschweregrad wurde wenige Tage nach dem Fix als aktiv ausgenutzt gemeldet 4. Die CVE-2026-44756 vom September lag nach Zählung von Onapsis, dem Sicherheitsunternehmen, das sie gemeldet hatte, auf mehr als 10.000 über das Internet erreichbaren Systemen offen 4. Die US-Cyberbehörde CISA führt 14 SAP-Lücken in ihrem Katalog bekannt ausgenutzter Schwachstellen, deren älteste bis November 2021 zurückreicht; drei davon stehen in Verbindung mit Ransomware 4.
Die Prämie, auf die die Lücke trifft
Unter dem Sicherheitslärm wächst das Geschäft unbeirrt weiter: Der Umsatz hat zwölf Quartale in Folge über dem jeweiligen Vorjahresquartal gelegen, zuletzt 11,2 Milliarden Dollar im Juni-Quartal 7. Die nächste Messung kommt mit den Quartalszahlen am 21. Oktober; dort erwarten die Analysten 11,45 Milliarden Dollar 5.
Umsatz zwölf Quartale in Folge über dem Vorjahresquartal – die nächste Zahl folgt am 21. Oktober
- Umsatz
- Estimate
Data
| Umsatz | |
|---|---|
| Q3/23 | $8.24 |
| Q4/23 | $9.41 |
| Q1/24 | $8.74 |
| Q2/24 | $8.91 |
| Q3/24 | $9.41 |
| Q4/24 | $9.77 |
| Q1/25 | $9.8 |
| Q2/25 | $10.62 |
| Q3/25 | $10.68 |
| Q4/25 | $11.39 |
| Q1/26 | $10.98 |
| Q2/26 | $11.23 |
| Q3/26e (estimate) | $11.45 |
Noch keine Angriffe bekannt – am 21. Oktober wird die Prämie eingepreist
Eine Ausnutzung der neuen Lücke ist bislang nicht bestätigt, auch der Katalog der CISA führt sie nicht 8. SAP hat einen Patch und einen Workaround bereitgestellt: eine Positivliste registrierter Tenant-Subdomains 2. Die Bullen-These stützt sich auf 26 Prozent Wachstum beim Current Cloud Backlog – abgeschlossene, aber noch nicht umsatzwirksam gebuchte Cloud-Verträge – und auf Joule, SAPs KI-Assistenten, der die Produktivität Berichten zufolge um bis zu 20 Prozent steigern soll 5. Keine der beiden Zahlen holt jedoch Zugangsdaten zurück, die bereits an den falschen Server übermittelt wurden.
Die Warnung überlässt es jedem einzelnen Kunden, möglicherweise offengelegte Zugangsdaten zu ersetzen 6. Läuft eine Anwendung noch auf einer ungepatchten Version, reicht ein einziger präparierter Parameter aus, um die Zugangsdaten des KI-Agenten auf den Server eines Angreifers zu schicken 2. Bereits im September notierte die Aktie 27 Prozent unter ihrem Höchststand, angesichts von Zweifeln an der KI-Roadmap – zumal im Hintergrund ein Aktienrückkauf läuft 9.
Zwei Messwerte entscheiden die Woche: ob CVE-2026-89111 binnen weniger Tage nach dem Fix ausgenutzt wird, wie es im August bei der Lücke in der Commerce Cloud der Fall war – und ob die Quartalszahlen am 21. Oktober zeigen, dass der Cloud-Umsatz die Prämie trägt 4.
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
