---
title: "10 में 10 गंभीरता वाली खामी पर सैप ने पैच दिया—एआई एजेंटों के क्रेडेंशियल हमलावरों के हाथ जा सकते थे; नतीजे 21 अक्टूबर को"
description: "सैप ने अपने अक्टूबर पैच डे पर CVE-2026-89111 खत्म कर दी। सीवीएसएस (CVSS) 10.0 की यह खामी किसी बाहरी शख्स को वे OAuth2 क्रेडेंशियल थमा सकती थी, जो कंपनी के एआई एजेंट ग्राहकों के सिस्टम के अंदर इस्तेमाल करते हैं। एआई की डिलीवरी के दम पर शेयर कमाई के 28.6 गुना पर कारोबार कर रहा है और 21 अक्टूबर को नतीजे देगा।"
publisher: "The Inference"
section: "Safety"
published: 2026-10-14T17:18:14.208Z
modified: 2026-10-14T17:18:14.208Z
canonical: https://theinference.org/article/sap-patches-a-10-out-of-10-flaw-that-can-send-ai-agents-credentials-to-attackers-earnings-due-october-21/hi
language: hi
keywords: "Security, SAP, AI Agents, Enterprise Software, Earnings"
---

# 10 में 10 गंभीरता वाली खामी पर सैप ने पैच दिया—एआई एजेंटों के क्रेडेंशियल हमलावरों के हाथ जा सकते थे; नतीजे 21 अक्टूबर को

> सैप ने अपने अक्टूबर पैच डे पर CVE-2026-89111 खत्म कर दी। सीवीएसएस (CVSS) 10.0 की यह खामी किसी बाहरी शख्स को वे OAuth2 क्रेडेंशियल थमा सकती थी, जो कंपनी के एआई एजेंट ग्राहकों के सिस्टम के अंदर इस्तेमाल करते हैं। एआई की डिलीवरी के दम पर शेयर कमाई के 28.6 गुना पर कारोबार कर रहा है और 21 अक्टूबर को नतीजे देगा।

## एक ही यूआरएल पैरामीटर चाबी ले जाता था

[सैप](https://theinference.org/markets/companies/sap) के अक्टूबर पैच डे पर 13 अक्टूबर 2026 को 22 नए और अपडेटेड सुरक्षा नोट्स जारी हुए, जिनमें चार क्रिटिकल दर्जे के हैं [1]। सबसे बुरी खामी है [CVE-2026-89111—सर्वर-साइड रिक्वेस्ट फॉर्जरी (SSRF), जिसे 10.0 का स्कोर मिला है](https://nvd.nist.gov/vuln/detail/CVE-2026-89111), यानी मानक गंभीरता पैमाने के पूरे 10 में से पूरे अंक। यह खामी Cloud SDK for Python के वर्जन 0.45.2 में ठीक की गई—यह एसडीके सैप का आधिकारिक टूलकिट है, जिससे कंपनी के बिजनेस टेक्नोलॉजी प्लेटफॉर्म (Business Technology Platform) क्लाउड पर एआई एजेंट और पायथन ऐप्लिकेशन बनाए जाते हैं [1][2][4]।

यह एसडीके tenant_subdomain नाम का वैल्यू लेता है, जो बताता है कि रिक्वेस्ट किस ग्राहक की है। इसमें कोई जाली वैल्यू डालते ही एसडीके अपनी टोकन रिक्वेस्ट उसी वैल्यू के इर्द-गिर्द बना देता है और [ऐप्लिकेशन की OAuth2 क्लाइंट आईडी और सीक्रेट—सॉफ्टवेयर सैप के क्लाउड पर पहचान दर्ज कराने के लिए जो स्थायी क्रेडेंशियल इस्तेमाल करता है—हमलावर के कंट्रोल वाले सर्वर पर भेज देता है](https://github.com/SAP/cloud-sdk-python/security/advisories/GHSA-4mv3-jxxm-9cx2) [2]। इसमें न लॉगिन चाहिए, न कोई खास अधिकार, न किसी यूजर को फंसाना पड़ता है [3]।

समय भी ऐसा है कि बात सीधे पैसे से जुड़ जाती है। सैप का शेयर कमाई के 28.6 गुना पर कारोबार कर रहा है—220.10 डॉलर पर, जबकि एनालिस्ट का औसत टारगेट 264.71 डॉलर है। 21 अक्टूबर को बाजार बंद होने के बाद कंपनी तीसरी तिमाही के नतीजे देगी: [कंसेंसस शेयर दर शेयर 2.04 डॉलर की कमाई और 11.45 अरब डॉलर के रेवेन्यू का है](https://www.marketbeat.com/instant-alerts/upcoming-sap-sap-projected-to-announce-quarterly-earnings-on-wednesday-2026-10-14/)। जुलाई में आई तिमाही में कंपनी 2.00 डॉलर के एस्टीमेट के मुकाबले 1.82 डॉलर ही कमा पाई थी [5]।

## फिक्स अगस्त में आया था, सितंबर में फिसल गया

जाली सबडोमेन रोकने वाला वैलिडेशन चेक पहली बार 21 अगस्त को वर्जन 0.45.2 में आया—रिलीज नोट्स में इसे बग फिक्स की सूची में दर्ज किया गया, सुरक्षा का जिक्र तक नहीं था। एडवाइजरी 53 दिन बाद आई [6]। उस रिलीज से पहले एसडीके के किसी भी वर्जन में यह चेक नहीं था [6]।

10 से 18 सितंबर के बीच जारी छह रिलीज—वर्जन 0.53.0 से 0.55.0—में Destination सर्विस मॉड्यूल की टोकन हैंडलिंग नए शेयर्ड कोड पर शिफ्ट हो गई, जो इस चेक से गुजरता ही नहीं था [6]। अगस्त के फिक्स के बाद जारी पुरानी 0.36 लाइन की दो रिलीज में यह चेक कभी था ही नहीं [6]।

एडवाइजरी में 0.45.2 से ऊपर का कोई वर्जन प्रभावित नहीं दिखाया गया है, और न एडवाइजरी, न रिलीज नोट्स बताते हैं कि सितंबर की छह रिलीज इस CVE के दायरे में आती हैं या नहीं, और उन्हें चलाने वाली ऐप्लिकेशन को अपने क्रेडेंशियल बदलने चाहिए या नहीं [6]। नवीनतम रिलीज 0.58.4 सैप के अपने सभी 11 टेस्ट पास करती है [6]।

## सैप की सबसे गंभीर खामियां चंद दिनों में इस्तेमाल हो जाती हैं

यह पैच इसलिए अहम है क्योंकि सैप की हाल की क्रिटिकल खामियां सिर्फ कागज पर नहीं रहतीं। अगस्त में कॉमर्स क्लाउड (Commerce Cloud) की जो मैक्सिमम सिवरिटी खामी सामने आई थी, वह [अपने पैच आने के चंद ही दिनों बाद सक्रिय रूप से इस्तेमाल की जाती पाई गई थी](https://www.bleepingcomputer.com/news/security/sap-warns-of-maximum-severity-oauth2-ssrf-security-flaw/) [4]। सितंबर की CVE-2026-44756 खामी उसे रिपोर्ट करने वाली साइबर सुरक्षा फर्म ओनाप्सिस (Onapsis) की गिनती के मुताबिक 10,000 से ज्यादा इंटरनेट से सीधे जुड़े सिस्टमों पर खुली पड़ी थी [4]। अमेरिकी साइबर एजेंसी सीआईएसए (CISA) की इस्तेमाल की जा चुकी खामियों की कैटलॉग में नवंबर 2021 से अब तक 14 सैप खामियां दर्ज हैं, जिनमें से तीन रैनसमवेयर से जुड़ी हैं [4]।

## जिस प्रीमियम पर खामी आ पड़ी

सुरक्षा के इस शोर के बीच भी बिजनेस बढ़ता ही जा रहा है: रेवेन्यू लगातार 12 तिमाहियों से पिछले साल की उसी तिमाही से आगे निकल रहा है — जून तिमाही में यह 11.2 अरब डॉलर रहा [7]। अगला आंकड़ा 21 अक्टूबर के नतीजों के साथ आएगा, जिसमें एनालिस्ट 11.45 अरब डॉलर का रेवेन्यू उम्मीद कर रहे हैं [5]।

*Chart: **12 लगातार तिमाहियों से पिछले साल की उसी तिमाही से ज्यादा रेवेन्यू; अगला आंकड़ा 21 अक्टूबर को** सैप की तिमाही रेवेन्यू का लाइन चार्ट — तीसरी तिमाही 2023 से दूसरी तिमाही 2026 तक — जिसमें तीसरी तिमाही 2026 का एस्टीमेट पॉइंट 11.45 अरब डॉलर पर डैश लाइन से दिखाया गया है और पूरी अवधि में रेवेन्यू का रुख ऊपर की ओर है।*

*अरब डॉलर में तिमाही रेवेन्यू, एसईसी (SEC) में दाखिल आंकड़ों के मुताबिक, कैलेंडर तिमाहियों में। तीसरी तिमाही 2026 (e) मार्केटबीट (MarketBeat) के जरिए एनालिस्ट कंसेंसस है, रिपोर्ट किया गया आंकड़ा नहीं। [5][7]*

## हमलों ने अभी नाम नहीं लिया, प्रीमियम की कीमत 21 अक्टूबर को लगेगी

इस नई खामी के इस्तेमाल की कोई पुष्टि नहीं हुई है और यह सीआईएसए की कैटलॉग में भी शामिल नहीं है [8]। सैप ने [पैच के साथ-साथ एक वर्कअराउंड भी जारी किया](https://www.securityweek.com/sap-patches-critical-netweaver-s-4hana-vulnerabilities/) है — रजिस्टर्ड टेनेंट सबडोमेन की अलाउलिस्ट (allowlist) [2]। बुल केस (तेजी के दावे) दो आंकड़ों पर टिका है: करंट क्लाउड बैकलॉग (current cloud backlog) में 26 फीसदी की बढ़त — यानी साइन तो हो चुके लेकिन अभी रेवेन्यू में शुमार न हुए क्लाउड कॉन्ट्रैक्ट — और सैप का एआई असिस्टेंट जूल (Joule), जिससे प्रोडक्टिविटी 20 फीसदी तक बढ़ने की बात कही जा रही है [5]। लेकिन इनमें से कोई भी आंकड़ा उस क्रेडेंशियल को वापस नहीं ला सकता, जो पहले ही गलत सर्वर तक पहुंच चुका हो।

संभावित रूप से उजागर हो चुके क्रेडेंशियल बदलने हैं या नहीं — यह फैसला एडवाइजरी ने हर ग्राहक पर छोड़ दिया है [6]। जिस रिलीज में यह फिक्स नहीं आया, उस पर अब भी चल रहे किसी भी एप्लिकेशन के एजेंट का क्रेडेंशियल सिर्फ एक जाली पैरामीटर से हमलावर के सर्वर तक भेजा जा सकता है [2]। एआई रोडमैप को लेकर शक के बीच यह स्टॉक सितंबर में पहले ही अपने शिखर से 27 फीसदी नीचे कारोबार कर रहा था, और नीचे से बायबैक का सहारा भी जारी था [9]।

दो बातें इस हफ्ते का फैसला करेंगी: पहली, क्या CVE-2026-89111 का इस्तेमाल उसके फिक्स आने के कुछ ही दिनों में हो जाता है — जैसा अगस्त की कॉमर्स क्लाउड खामी के साथ देखा गया था; और दूसरी, क्या 21 अक्टूबर की नतीजों की रिपोर्ट यह दिखाती है कि क्लाउड रेवेन्यू ही प्रीमियम को ढो रहा है [4]।

## Takeaway

सैप के Cloud SDK for Python की सीवीएसएस 10.0 वाली खामी एआई एजेंटों के OAuth2 क्रेडेंशियल हमलावर के सर्वर तक पहुंचा सकती है। सैप ने 13 अक्टूबर को पैच दे दिया, लेकिन कंपनी का रिकॉर्ड गवाह है कि उसकी गंभीर खामियां चंद दिनों में ही इस्तेमाल की जा जाती हैं, और 21 अक्टूबर के नतीजे तय करेंगे कि एआई का प्रीमियम—कमाई के 28.6 गुना—कितना सही है।

## Sources

1. [SecurityWeek, "SAP Patches Critical NetWeaver, S/4HANA Vulnerabilities", 13 October 2026](https://www.securityweek.com/sap-patches-critical-netweaver-s-4hana-vulnerabilities/)
2. [SAP GitHub security advisory GHSA-4mv3-jxxm-9cx2, "OAuth2 SSRF vulnerability in SAP Cloud SDK for Python", published 13 October 2026](https://github.com/SAP/cloud-sdk-python/security/advisories/GHSA-4mv3-jxxm-9cx2)
3. [US National Vulnerability Database, "CVE-2026-89111 Detail", published 12 October 2026](https://nvd.nist.gov/vuln/detail/CVE-2026-89111)
4. [BleepingComputer, "SAP warns of maximum severity OAuth2 SSRF security flaw", 13 October 2026](https://www.bleepingcomputer.com/news/security/sap-warns-of-maximum-severity-oauth2-ssrf-security-flaw/)
5. [MarketBeat, "SAP (SAP) Projected to Announce Quarterly Earnings on Wednesday", 14 October 2026](https://www.marketbeat.com/instant-alerts/upcoming-sap-sap-projected-to-announce-quarterly-earnings-on-wednesday-2026-10-14/)
6. [The Hacker News, "SAP Discloses Critical CVSS 10 Flaw in Cloud SDK for Python Allowing OAuth2 Credential Theft", 13 October 2026](https://thehackernews.com/2026/10/sap-discloses-critical-cvss-10-flaw-in.html)
7. [SAP SE, quarterly figures from its SEC filings, retrieved 14 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001000184)
8. [Rescana, "Critical CVE-2026-89111 SSRF Vulnerability in SAP Cloud SDK for Python Threatens SAP BTP OAuth2 Security", 14 October 2026](https://www.rescana.com/post/critical-cve-2026-89111-ssrf-vulnerability-in-sap-cloud-sdk-for-python-threatens-sap-btp-oauth2-security)
9. [ad-hoc-news, "SAP's Patch Day Flags Two Critical Holes as Buyback Presses On and the Stock Sits 27% Under Its Peak", 11 September 2026](https://www.ad-hoc-news.de/boerse/news/unternehmensnachrichten/sap-s-patch-day-flags-two-critical-holes-as-buyback-presses-on-and-the-stock-sits-27-prozent-under/70088516)


---

10 में 10 गंभीरता वाली खामी पर सैप ने पैच दिया—एआई एजेंटों के क्रेडेंशियल हमलावरों के हाथ जा सकते थे; नतीजे 21 अक्टूबर को — The Inference. Canonical: https://theinference.org/article/sap-patches-a-10-out-of-10-flaw-that-can-send-ai-agents-credentials-to-attackers-earnings-due-october-21/hi