SAP corrige falha de nota 10 que pode enviar credenciais de agentes de IA a atacantes; balanço sai em 21 de outubro
O dia de patches de outubro da SAP corrigiu a CVE-2026-89111, uma falha com nota 10,0 no CVSS capaz de entregar a um intruso as credenciais OAuth2 que seus agentes de IA usam dentro dos sistemas dos clientes. A ação negocia a 28,6 vezes o lucro com base na entrega da IA, e a companhia divulga resultados em 21 de outubro.
Vincent Jiang · 3 min read
Um parâmetro de URL carregava as chaves
O dia de patches de outubro da SAP+1.11% — SAP, up 1.11 percent as of its last quote trouxe 22 notas de segurança novas ou atualizadas em 13 de outubro de 2026, quatro delas classificadas como críticas 1. A pior é a CVE-2026-89111, uma falha de falsificação de requisição do lado do servidor (SSRF), com nota 10,0 de 10 na escala padrão de gravidade, corrigida na versão 0.45.2 do Cloud SDK for Python, o kit oficial da SAP para construir agentes de IA e aplicações em Python em sua nuvem Business Technology Platform 124.
O SDK recebe um valor chamado tenant_subdomain para dizer a qual cliente pertence uma requisição. Basta entregar a ele um valor forjado e o SDK monta a requisição de token em torno desse valor, enviando o ID e o segredo do cliente OAuth2 da aplicação — as credenciais fixas com que o software se autentica na nuvem da SAP — para um servidor controlado pelo atacante 2. Não exige login, privilégios nem truques contra o usuário 3.
O timing encontra o dinheiro. A SAP negocia a 28,6 vezes o lucro — ação a US$ 220,10, contra preço-alvo médio dos analistas de US$ 264,71 — e divulga os resultados do terceiro trimestre após o fechamento do mercado em 21 de outubro: consenso de US$ 2,04 por ação e receita de US$ 11,45 bilhões. O trimestre divulgado em julho frustrou: US$ 1,82 contra estimativa de US$ 2,00 5.
A correção saiu em agosto e escorregou de volta em setembro
A checagem que bloqueia subdomínios forjados apareceu pela primeira vez em 21 de agosto, na versão 0.45.2 — listada como correção de bug, sem menção a segurança. O aviso de segurança veio 53 dias depois 6. Até lá, nenhuma versão do SDK tinha a checagem 6.
Seis versões lançadas entre 10 e 18 de setembro, da 0.53.0 à 0.55.0, transferiram o tratamento de tokens do módulo do serviço Destination para um novo código compartilhado que ignorava a checagem 6. Duas versões da linha antiga 0.36, publicadas depois da correção de agosto, nunca tiveram a checagem 6.
O aviso de segurança não lista como afetada nenhuma versão acima da 0.45.2 — e nem ele nem as notas de versão dizem se as seis versões de setembro se enquadram nessa CVE, ou se aplicações que as executaram devem trocar suas credenciais 6. A mais recente, a 0.58.4, passa nos onze testes da própria SAP 6.
As piores falhas da SAP são exploradas em poucos dias
O patch importa porque as falhas críticas recentes da SAP não ficam na teoria. A falha de gravidade máxima no Commerce Cloud, de agosto, foi flagrada em exploração ativa dias após a correção 4. A CVE-2026-44756, de setembro, seguia exposta em mais de 10 mil sistemas acessíveis pela internet, na contagem da Onapsis, a empresa de segurança que reportou a falha 4. A CISA, agência de cibersegurança dos EUA, mantém 14 falhas da SAP, registradas desde novembro de 2021, em seu catálogo de vulnerabilidades exploradas — três delas ligadas a ransomware 4.
O prêmio que a falha atinge
Sob o ruído da segurança, o negócio segue em crescimento composto: a receita supera a do mesmo trimestre do ano anterior há 12 trimestres seguidos — foram US$ 11,2 bilhões no trimestre de junho 7. A próxima leitura chega com o balanço de 21 de outubro, quando os analistas esperam US$ 11,45 bilhões 5.
Receita supera a do mesmo trimestre do ano anterior há 12 trimestres seguidos; a próxima leitura chega em 21 de outubro
- Receita
- Estimate
Data
| Receita | |
|---|---|
| 3T23 | $8.24 |
| 4T23 | $9.41 |
| 1T24 | $8.74 |
| 2T24 | $8.91 |
| 3T24 | $9.41 |
| 4T24 | $9.77 |
| 1T25 | $9.8 |
| 2T25 | $10.62 |
| 3T25 | $10.68 |
| 4T25 | $11.39 |
| 1T26 | $10.98 |
| 2T26 | $11.23 |
| 3T26e (estimate) | $11.45 |
Sem ataques por ora, e 21 de outubro precifica o prêmio
Não há exploração confirmada da nova falha, e ela não consta no catálogo da CISA 8. A SAP lançou um patch e uma solução de contorno: uma lista de permissões de subdomínios de tenant registrados 2. A tese otimista se apoia no crescimento de 26% do current cloud backlog — os contratos de nuvem assinados, mas ainda não contabilizados como receita — e em Joule, o assistente de IA da SAP, apontado como capaz de elevar a produtividade em até 20% 5. Nenhum dos dois números devolve uma credencial já entregue ao servidor errado.
O aviso de segurança deixa a cada cliente a decisão de substituir credenciais possivelmente expostas 6. Basta um parâmetro forjado para que qualquer aplicação que ainda rode uma versão sem correção entregue as credenciais de seu agente a um servidor controlado pelo atacante 2. A ação já negociava, em setembro, 27% abaixo da máxima, pressionada por dúvidas sobre o roteiro de IA, com uma recompra de ações em curso 9.
Duas leituras definem a semana: se a CVE-2026-89111 será explorada em questão de dias após a correção, como ocorreu com a falha do Commerce Cloud em agosto, e se o balanço de 21 de outubro mostra a receita de nuvem sustentando o prêmio 4.
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
