--- title: "SAP corrige une faille notée 10 sur 10 capable d'envoyer les identifiants de ses agents d'IA à des attaquants ; résultats le 21 octobre" description: "La journée de correctifs d'octobre de SAP a corrigé la CVE-2026-89111, une faille CVSS 10,0 capable de livrer à un tiers les identifiants OAuth2 que ses agents d'IA utilisent au sein des systèmes de ses clients. L'action, dont la cote mise sur la livraison de l'IA, s'échange à 28,6 fois les bénéfices et publie ses résultats le 21 octobre." publisher: "The Inference" section: "Safety" published: 2026-10-14T17:18:14.208Z modified: 2026-10-14T17:18:14.208Z canonical: https://theinference.org/article/sap-patches-a-10-out-of-10-flaw-that-can-send-ai-agents-credentials-to-attackers-earnings-due-october-21/fr language: fr keywords: "Security, SAP, AI Agents, Enterprise Software, Earnings" --- # SAP corrige une faille notée 10 sur 10 capable d'envoyer les identifiants de ses agents d'IA à des attaquants ; résultats le 21 octobre > La journée de correctifs d'octobre de SAP a corrigé la CVE-2026-89111, une faille CVSS 10,0 capable de livrer à un tiers les identifiants OAuth2 que ses agents d'IA utilisent au sein des systèmes de ses clients. L'action, dont la cote mise sur la livraison de l'IA, s'échange à 28,6 fois les bénéfices et publie ses résultats le 21 octobre. ## Un seul paramètre d'URL transportait les clés La journée de correctifs d'octobre de [SAP](https://theinference.org/markets/companies/sap) a publié le 13 octobre 2026 vingt-deux notes de sécurité nouvelles ou mises à jour, dont quatre classées critiques [1]. La plus grave est la [CVE-2026-89111, une faille de type SSRF (server-side request forgery) notée 10,0](https://nvd.nist.gov/vuln/detail/CVE-2026-89111), le maximum de l'échelle standard de sévérité, corrigée dans la version 0.45.2 du Cloud SDK for Python, la boîte à outils officielle de SAP pour développer des agents d'IA et des applications Python sur son cloud Business Technology Platform [1][2][4]. Le SDK lit une valeur appelée tenant_subdomain pour désigner le client auquel se rattache une requête. Il suffit de lui transmettre une valeur forgée : le SDK construit alors sa demande de jeton autour de cette valeur et [envoie l'identifiant client et le secret OAuth2 de l'application](https://github.com/SAP/cloud-sdk-python/security/advisories/GHSA-4mv3-jxxm-9cx2) — les identifiants permanents avec lesquels le logiciel s'authentifie sur le cloud de SAP — vers un serveur contrôlé par l'attaquant [2]. Aucune connexion, aucun privilège ni aucune manipulation de l'utilisateur n'est requis [3]. Le calendrier tombe en plein sujet financier. Le titre SAP s'échange à 28,6 fois les bénéfices, à 220,10 dollars, contre un objectif de cours moyen des analystes de 264,71 dollars. Il publiera ses résultats du troisième trimestre après la clôture le 21 octobre : [consensus de 2,04 dollars par action sur 11,45 milliards de dollars de chiffre d'affaires](https://www.marketbeat.com/instant-alerts/upcoming-sap-sap-projected-to-announce-quarterly-earnings-on-wednesday-2026-10-14/), après un trimestre de juillet terminé sous les attentes, à 1,82 dollar contre 2,00 dollars attendus [5]. ## Un correctif livré en août, une rechute en septembre Le contrôle de validation qui bloque les sous-domaines forgés est d'abord arrivé le 21 août, dans la version 0.45.2, inscrite au chapitre des corrections de bugs sans la moindre mention de sécurité ; l'avis de sécurité n'a suivi que 53 jours plus tard [6]. Avant cette version, aucune itération du SDK n'en disposait [6]. Six versions publiées entre le 10 et le 18 septembre, de la 0.53.0 à la 0.55.0, ont migré le traitement des jetons du module du service Destination vers un nouveau code partagé qui omettait ce contrôle [6]. Deux versions de l'ancienne branche 0.36, publiées après le correctif d'août, ne l'ont jamais intégré [6]. L'avis ne classe comme affectée aucune version supérieure à la 0.45.2, et ni le document ni les notes de version ne précisent si les six versions de septembre relèvent de cette CVE, ni si les applications qui les ont exécutées doivent remplacer leurs identifiants [6]. La plus récente, la 0.58.4, réussit les onze tests maison de SAP [6]. ## Chez SAP, les failles critiques sont exploitées en quelques jours Le correctif compte, car les failles critiques récentes de SAP ne restent pas théoriques. La faille de sévérité maximale repérée en août dans Commerce Cloud a été [signalée comme activement exploitée quelques jours après sa correction](https://www.bleepingcomputer.com/news/security/sap-warns-of-maximum-severity-oauth2-ssrf-security-flaw/) [4]. En septembre, la CVE-2026-44756 restait exposée sur plus de 10 000 systèmes accessibles depuis Internet, selon le décompte d'Onapsis, la société de cybersécurité qui l'a révélée [4]. La CISA, l'agence de cybersécurité américaine, recense 14 failles SAP dans son catalogue de vulnérabilités exploitées, qui remonte à novembre 2021, dont trois liées à des rançongiciels [4]. ## La faille tombe sur la prime à l'IA Par-delà le bruit autour de la sécurité, l'activité poursuit sa progression : le chiffre d'affaires dépasse celui du trimestre équivalent de l'année précédente depuis douze trimestres d'affilée, à 11,2 milliards de dollars au deuxième trimestre [7]. Le prochain rendez-vous tombe le 21 octobre, avec la publication des résultats trimestriels : les analystes y attendent 11,45 milliards de dollars [5]. *Chart: **Le chiffre d'affaires dépasse son niveau d'un an plus tôt depuis 12 trimestres d'affilée ; le prochain point tombe le 21 octobre** Graphique en courbes du chiffre d'affaires trimestriel de SAP, du troisième trimestre 2023 au deuxième trimestre 2026, avec un point d'estimation en pointillés à 11,45 milliards de dollars pour le troisième trimestre 2026 ; la tendance est haussière sur toute la période.* *Chiffre d'affaires trimestriel en milliards de dollars, tel que déclaré à la SEC ; trimestres civils. Le T3 2026e est un consensus d'analystes relevé par MarketBeat, et non un chiffre publié. [5][7]* ## Aucune attaque identifiée à ce jour ; le 21 octobre fixera le prix de la prime Aucune exploitation de la nouvelle faille n'est confirmée, et elle ne figure pas au catalogue de la CISA [8]. SAP a [publié un correctif et une solution de contournement](https://www.securityweek.com/sap-patches-critical-netweaver-s-4hana-vulnerabilities/), une liste blanche des sous-domaines de clients (tenants) enregistrés [2]. Le scénario haussier repose sur la progression de 26 % du « current cloud backlog », les contrats cloud signés mais pas encore comptabilisés en chiffre d'affaires, et sur Joule, l'assistant d'IA de SAP, crédité d'un gain de productivité allant jusqu'à 20 % [5]. Aucun de ces deux chiffres ne récupère un identifiant déjà livré au mauvais serveur. L'avis de sécurité laisse à chaque client la décision de remplacer les identifiants potentiellement exposés [6]. Toute application qui tourne encore sur une version non corrigée reste exposée : un seul paramètre forgé suffit à livrer les identifiants de son agent au serveur de l'attaquant [2]. En septembre, l'action SAP cotait déjà 27 % sous son plus haut, sur fond de doutes autour de sa feuille de route en matière d'IA, tandis qu'un programme de rachat d'actions se poursuivait en coulisses [9]. Deux lectures décideront de la semaine : la CVE-2026-89111 sera-t-elle exploitée dans les jours qui suivent son correctif, comme la faille de Commerce Cloud l'a été en août, et les résultats trimestriels du 21 octobre montreront-ils que le chiffre d'affaires cloud porte la prime à l'IA [4]. ## Takeaway Une faille CVSS 10,0 dans le Cloud SDK for Python de SAP peut envoyer les identifiants OAuth2 des agents d'IA vers le serveur d'un attaquant. SAP l'a corrigée le 13 octobre ; son historique montre que ses failles critiques sont exploitées en quelques jours, et les résultats attendus le 21 octobre feront le prix d'une prime IA déjà cotée à 28,6 fois les bénéfices. ## Sources 1. [SecurityWeek, "SAP Patches Critical NetWeaver, S/4HANA Vulnerabilities", 13 October 2026](https://www.securityweek.com/sap-patches-critical-netweaver-s-4hana-vulnerabilities/) 2. [SAP GitHub security advisory GHSA-4mv3-jxxm-9cx2, "OAuth2 SSRF vulnerability in SAP Cloud SDK for Python", published 13 October 2026](https://github.com/SAP/cloud-sdk-python/security/advisories/GHSA-4mv3-jxxm-9cx2) 3. [US National Vulnerability Database, "CVE-2026-89111 Detail", published 12 October 2026](https://nvd.nist.gov/vuln/detail/CVE-2026-89111) 4. [BleepingComputer, "SAP warns of maximum severity OAuth2 SSRF security flaw", 13 October 2026](https://www.bleepingcomputer.com/news/security/sap-warns-of-maximum-severity-oauth2-ssrf-security-flaw/) 5. [MarketBeat, "SAP (SAP) Projected to Announce Quarterly Earnings on Wednesday", 14 October 2026](https://www.marketbeat.com/instant-alerts/upcoming-sap-sap-projected-to-announce-quarterly-earnings-on-wednesday-2026-10-14/) 6. [The Hacker News, "SAP Discloses Critical CVSS 10 Flaw in Cloud SDK for Python Allowing OAuth2 Credential Theft", 13 October 2026](https://thehackernews.com/2026/10/sap-discloses-critical-cvss-10-flaw-in.html) 7. [SAP SE, quarterly figures from its SEC filings, retrieved 14 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001000184) 8. [Rescana, "Critical CVE-2026-89111 SSRF Vulnerability in SAP Cloud SDK for Python Threatens SAP BTP OAuth2 Security", 14 October 2026](https://www.rescana.com/post/critical-cve-2026-89111-ssrf-vulnerability-in-sap-cloud-sdk-for-python-threatens-sap-btp-oauth2-security) 9. [ad-hoc-news, "SAP's Patch Day Flags Two Critical Holes as Buyback Presses On and the Stock Sits 27% Under Its Peak", 11 September 2026](https://www.ad-hoc-news.de/boerse/news/unternehmensnachrichten/sap-s-patch-day-flags-two-critical-holes-as-buyback-presses-on-and-the-stock-sits-27-prozent-under/70088516) --- SAP corrige une faille notée 10 sur 10 capable d'envoyer les identifiants de ses agents d'IA à des attaquants ; résultats le 21 octobre — The Inference. Canonical: https://theinference.org/article/sap-patches-a-10-out-of-10-flaw-that-can-send-ai-agents-credentials-to-attackers-earnings-due-october-21/fr