10 में 10 गंभीरता वाली खामी पर सैप ने पैच दिया—एआई एजेंटों के क्रेडेंशियल हमलावरों के हाथ जा सकते थे; नतीजे 21 अक्टूबर को
सैप ने अपने अक्टूबर पैच डे पर CVE-2026-89111 खत्म कर दी। सीवीएसएस (CVSS) 10.0 की यह खामी किसी बाहरी शख्स को वे OAuth2 क्रेडेंशियल थमा सकती थी, जो कंपनी के एआई एजेंट ग्राहकों के सिस्टम के अंदर इस्तेमाल करते हैं। एआई की डिलीवरी के दम पर शेयर कमाई के 28.6 गुना पर कारोबार कर रहा है और 21 अक्टूबर को नतीजे देगा।
Vincent Jiang · 3 min read
एक ही यूआरएल पैरामीटर चाबी ले जाता था
सैप+1.11% — सैप, up 1.11 percent as of its last quote के अक्टूबर पैच डे पर 13 अक्टूबर 2026 को 22 नए और अपडेटेड सुरक्षा नोट्स जारी हुए, जिनमें चार क्रिटिकल दर्जे के हैं 1। सबसे बुरी खामी है CVE-2026-89111—सर्वर-साइड रिक्वेस्ट फॉर्जरी (SSRF), जिसे 10.0 का स्कोर मिला है, यानी मानक गंभीरता पैमाने के पूरे 10 में से पूरे अंक। यह खामी Cloud SDK for Python के वर्जन 0.45.2 में ठीक की गई—यह एसडीके सैप का आधिकारिक टूलकिट है, जिससे कंपनी के बिजनेस टेक्नोलॉजी प्लेटफॉर्म (Business Technology Platform) क्लाउड पर एआई एजेंट और पायथन ऐप्लिकेशन बनाए जाते हैं 124।
यह एसडीके tenant_subdomain नाम का वैल्यू लेता है, जो बताता है कि रिक्वेस्ट किस ग्राहक की है। इसमें कोई जाली वैल्यू डालते ही एसडीके अपनी टोकन रिक्वेस्ट उसी वैल्यू के इर्द-गिर्द बना देता है और ऐप्लिकेशन की OAuth2 क्लाइंट आईडी और सीक्रेट—सॉफ्टवेयर सैप के क्लाउड पर पहचान दर्ज कराने के लिए जो स्थायी क्रेडेंशियल इस्तेमाल करता है—हमलावर के कंट्रोल वाले सर्वर पर भेज देता है 2। इसमें न लॉगिन चाहिए, न कोई खास अधिकार, न किसी यूजर को फंसाना पड़ता है 3।
समय भी ऐसा है कि बात सीधे पैसे से जुड़ जाती है। सैप का शेयर कमाई के 28.6 गुना पर कारोबार कर रहा है—220.10 डॉलर पर, जबकि एनालिस्ट का औसत टारगेट 264.71 डॉलर है। 21 अक्टूबर को बाजार बंद होने के बाद कंपनी तीसरी तिमाही के नतीजे देगी: कंसेंसस शेयर दर शेयर 2.04 डॉलर की कमाई और 11.45 अरब डॉलर के रेवेन्यू का है। जुलाई में आई तिमाही में कंपनी 2.00 डॉलर के एस्टीमेट के मुकाबले 1.82 डॉलर ही कमा पाई थी 5।
फिक्स अगस्त में आया था, सितंबर में फिसल गया
जाली सबडोमेन रोकने वाला वैलिडेशन चेक पहली बार 21 अगस्त को वर्जन 0.45.2 में आया—रिलीज नोट्स में इसे बग फिक्स की सूची में दर्ज किया गया, सुरक्षा का जिक्र तक नहीं था। एडवाइजरी 53 दिन बाद आई 6। उस रिलीज से पहले एसडीके के किसी भी वर्जन में यह चेक नहीं था 6।
10 से 18 सितंबर के बीच जारी छह रिलीज—वर्जन 0.53.0 से 0.55.0—में Destination सर्विस मॉड्यूल की टोकन हैंडलिंग नए शेयर्ड कोड पर शिफ्ट हो गई, जो इस चेक से गुजरता ही नहीं था 6। अगस्त के फिक्स के बाद जारी पुरानी 0.36 लाइन की दो रिलीज में यह चेक कभी था ही नहीं 6।
एडवाइजरी में 0.45.2 से ऊपर का कोई वर्जन प्रभावित नहीं दिखाया गया है, और न एडवाइजरी, न रिलीज नोट्स बताते हैं कि सितंबर की छह रिलीज इस CVE के दायरे में आती हैं या नहीं, और उन्हें चलाने वाली ऐप्लिकेशन को अपने क्रेडेंशियल बदलने चाहिए या नहीं 6। नवीनतम रिलीज 0.58.4 सैप के अपने सभी 11 टेस्ट पास करती है 6।
सैप की सबसे गंभीर खामियां चंद दिनों में इस्तेमाल हो जाती हैं
यह पैच इसलिए अहम है क्योंकि सैप की हाल की क्रिटिकल खामियां सिर्फ कागज पर नहीं रहतीं। अगस्त में कॉमर्स क्लाउड (Commerce Cloud) की जो मैक्सिमम सिवरिटी खामी सामने आई थी, वह अपने पैच आने के चंद ही दिनों बाद सक्रिय रूप से इस्तेमाल की जाती पाई गई थी 4। सितंबर की CVE-2026-44756 खामी उसे रिपोर्ट करने वाली साइबर सुरक्षा फर्म ओनाप्सिस (Onapsis) की गिनती के मुताबिक 10,000 से ज्यादा इंटरनेट से सीधे जुड़े सिस्टमों पर खुली पड़ी थी 4। अमेरिकी साइबर एजेंसी सीआईएसए (CISA) की इस्तेमाल की जा चुकी खामियों की कैटलॉग में नवंबर 2021 से अब तक 14 सैप खामियां दर्ज हैं, जिनमें से तीन रैनसमवेयर से जुड़ी हैं 4।
जिस प्रीमियम पर खामी आ पड़ी
सुरक्षा के इस शोर के बीच भी बिजनेस बढ़ता ही जा रहा है: रेवेन्यू लगातार 12 तिमाहियों से पिछले साल की उसी तिमाही से आगे निकल रहा है — जून तिमाही में यह 11.2 अरब डॉलर रहा 7। अगला आंकड़ा 21 अक्टूबर के नतीजों के साथ आएगा, जिसमें एनालिस्ट 11.45 अरब डॉलर का रेवेन्यू उम्मीद कर रहे हैं 5।
12 लगातार तिमाहियों से पिछले साल की उसी तिमाही से ज्यादा रेवेन्यू; अगला आंकड़ा 21 अक्टूबर को
- रेवेन्यू
- Estimate
Data
| रेवेन्यू | |
|---|---|
| तिमाही 3 '23 | $8.24 |
| तिमाही 4 '23 | $9.41 |
| तिमाही 1 '24 | $8.74 |
| तिमाही 2 '24 | $8.91 |
| तिमाही 3 '24 | $9.41 |
| तिमाही 4 '24 | $9.77 |
| तिमाही 1 '25 | $9.8 |
| तिमाही 2 '25 | $10.62 |
| तिमाही 3 '25 | $10.68 |
| तिमाही 4 '25 | $11.39 |
| तिमाही 1 '26 | $10.98 |
| तिमाही 2 '26 | $11.23 |
| तिमाही 3 '26e (estimate) | $11.45 |
हमलों ने अभी नाम नहीं लिया, प्रीमियम की कीमत 21 अक्टूबर को लगेगी
इस नई खामी के इस्तेमाल की कोई पुष्टि नहीं हुई है और यह सीआईएसए की कैटलॉग में भी शामिल नहीं है 8। सैप ने पैच के साथ-साथ एक वर्कअराउंड भी जारी किया है — रजिस्टर्ड टेनेंट सबडोमेन की अलाउलिस्ट (allowlist) 2। बुल केस (तेजी के दावे) दो आंकड़ों पर टिका है: करंट क्लाउड बैकलॉग (current cloud backlog) में 26 फीसदी की बढ़त — यानी साइन तो हो चुके लेकिन अभी रेवेन्यू में शुमार न हुए क्लाउड कॉन्ट्रैक्ट — और सैप का एआई असिस्टेंट जूल (Joule), जिससे प्रोडक्टिविटी 20 फीसदी तक बढ़ने की बात कही जा रही है 5। लेकिन इनमें से कोई भी आंकड़ा उस क्रेडेंशियल को वापस नहीं ला सकता, जो पहले ही गलत सर्वर तक पहुंच चुका हो।
संभावित रूप से उजागर हो चुके क्रेडेंशियल बदलने हैं या नहीं — यह फैसला एडवाइजरी ने हर ग्राहक पर छोड़ दिया है 6। जिस रिलीज में यह फिक्स नहीं आया, उस पर अब भी चल रहे किसी भी एप्लिकेशन के एजेंट का क्रेडेंशियल सिर्फ एक जाली पैरामीटर से हमलावर के सर्वर तक भेजा जा सकता है 2। एआई रोडमैप को लेकर शक के बीच यह स्टॉक सितंबर में पहले ही अपने शिखर से 27 फीसदी नीचे कारोबार कर रहा था, और नीचे से बायबैक का सहारा भी जारी था 9।
दो बातें इस हफ्ते का फैसला करेंगी: पहली, क्या CVE-2026-89111 का इस्तेमाल उसके फिक्स आने के कुछ ही दिनों में हो जाता है — जैसा अगस्त की कॉमर्स क्लाउड खामी के साथ देखा गया था; और दूसरी, क्या 21 अक्टूबर की नतीजों की रिपोर्ट यह दिखाती है कि क्लाउड रेवेन्यू ही प्रीमियम को ढो रहा है 4।
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
