---
title: "SAP закрыла уязвимость «10 из 10», способную отправить учетные данные ИИ-агентов злоумышленникам; 21 октября — отчетность"
description: "Октябрьский день патчей SAP: закрыта CVE-2026-89111 — уязвимость с оценкой 10,0 по шкале CVSS, через которую посторонний мог получить учетные данные OAuth2, с которыми ИИ-агенты SAP работают внутри систем клиентов. Акции стоят 28,6 годовой прибыли в расчете на ИИ; отчет выйдет 21 октября."
publisher: "The Inference"
section: "Safety"
published: 2026-10-14T17:18:14.208Z
modified: 2026-10-14T17:18:14.208Z
canonical: https://theinference.org/article/sap-patches-a-10-out-of-10-flaw-that-can-send-ai-agents-credentials-to-attackers-earnings-due-october-21/ru
language: ru
keywords: "Security, SAP, AI Agents, Enterprise Software, Earnings"
---

# SAP закрыла уязвимость «10 из 10», способную отправить учетные данные ИИ-агентов злоумышленникам; 21 октября — отчетность

> Октябрьский день патчей SAP: закрыта CVE-2026-89111 — уязвимость с оценкой 10,0 по шкале CVSS, через которую посторонний мог получить учетные данные OAuth2, с которыми ИИ-агенты SAP работают внутри систем клиентов. Акции стоят 28,6 годовой прибыли в расчете на ИИ; отчет выйдет 21 октября.

## Ключи отдавал один параметр URL

В рамках октябрьского дня патчей 13 октября 2026 года [SAP](https://theinference.org/markets/companies/sap) выпустила 22 новых и обновленных бюллетеня безопасности, четыре из которых признаны критическими [1]. Самая опасная — [CVE-2026-89111, подделка запросов на стороне сервера (server-side request forgery, SSRF) с оценкой 10,0](https://nvd.nist.gov/vuln/detail/CVE-2026-89111) из 10 возможных по стандартной шкале серьезности; исправлена в версии 0.45.2 Cloud SDK for Python — официального инструментария SAP для создания ИИ-агентов и Python-приложений на облачной платформе Business Technology Platform [1][2][4].

Параметр tenant_subdomain определяет, какому клиенту принадлежит запрос. Если передать в нем специально сформированное значение, SDK построит на его основе запрос на получение токена, [отправив идентификатор и секретный ключ клиента OAuth2](https://github.com/SAP/cloud-sdk-python/security/advisories/GHSA-4mv3-jxxm-9cx2) — постоянные учетные данные, с которыми ПО аутентифицируется в облаке SAP, — на сервер под контролем злоумышленника [2]. Для атаки не нужны ни логин, ни права доступа, ни обман пользователя [3].

Тайминг — денежный. Акции SAP торгуются в 28,6 годовой прибыли — $220,10 при средней целевой цене аналитиков $264,71, а результаты за третий квартал компания объявит 21 октября после закрытия торгов: [консенсус — $2,04 на акцию при выручке $11,45 млрд](https://www.marketbeat.com/instant-alerts/upcoming-sap-sap-projected-to-announce-quarterly-earnings-on-wednesday-2026-10-14/). Июльский отчет разочаровал: $1,82 при прогнозе $2,00 [5].

## Патч вышел в августе и потерялся в сентябре

Проверка валидации, отсекающая поддельные субдомены, впервые появилась 21 августа в версии 0.45.2 — в разделе исправления ошибок, без единого слова о безопасности; уведомление об уязвимости вышло лишь 53 дня спустя [6]. До этого релиза проверки не было ни в одной версии SDK [6].

Шесть релизов, опубликованных с 10 по 18 сентября (версии с 0.53.0 по 0.55.0), перевели обработку токенов в модуле Destination service на новый общий код, в котором проверка не выполнялась [6]. Два релиза на старой ветке 0.36, вышедшие после августовского исправления, ее так и не получили [6].

В уведомлении версии выше 0.45.2 не числятся среди затронутых, но ни оно, ни примечания к релизам не поясняют, подпадают ли шесть сентябрьских версий под этот CVE и стоит ли приложениям, их запускавшим, заменить учетные данные [6]. Самый свежий релиз, 0.58.4, проходит все 11 собственных тестов SAP [6].

## Худшие уязвимости SAP эксплуатируют за считаные дни

Этот патч вышел не зря: в последнее время критические уязвимости SAP не остаются теоретическими. Августовская уязвимость максимальной критичности в Commerce Cloud [через считаные дни после исправления была признана активно эксплуатируемой](https://www.bleepingcomputer.com/news/security/sap-warns-of-maximum-severity-oauth2-ssrf-security-flaw/) [4]. Сентябрьская CVE-2026-44756, по подсчетам сообщившей о ней компании по кибербезопасности Onapsis, числилась незакрытой более чем на 10 тыс. систем, доступных из интернета [4]. В каталоге эксплуатируемых уязвимостей, который CISA — американское агентство по кибербезопасности — ведет с ноября 2021 года, значатся 14 уязвимостей SAP; три из них связаны с программами-вымогателями [4].

## Уязвимость пришлась на премиальную оценку

За шумом вокруг безопасности бизнес продолжает наращивать обороты: выручка 12 кварталов подряд превышает показатель годичной давности — во II квартале она составила $11,2 млрд [7]. Следующие данные придут 21 октября вместе с отчетностью: аналитики ждут $11,45 млрд [5].

*Chart: **Выручка 12 кварталов подряд превышает показатель годичной давности; следующие данные — 21 октября** Линейный график квартальной выручки SAP с III квартала 2023 года по II квартал 2026 года с пунктирной точкой прогноза на III квартал 2026 года в $11,45 млрд; тренд восходящий на всем протяжении.*

*Квартальная выручка, млрд долл. США, по отчетности, поданной в Комиссию по ценным бумагам и биржам США (SEC); кварталы календарные. Цифра за III квартал 2026 года — консенсус аналитиков по данным MarketBeat, а не отчетное значение. [5][7]*

## Атак пока не зафиксировано, а 21 октября станет ясно, чего стоит премия

Эксплуатация новой уязвимости не подтверждена, в каталоге CISA ее нет [8]. SAP [выпустила патч и временное решение](https://www.securityweek.com/sap-patches-critical-netweaver-s-4hana-vulnerabilities/) — белый список зарегистрированных субдоменов клиентов [2]. Бычий сценарий опирается на 26-процентный рост показателя current cloud backlog — портфеля подписанных, но еще не признанных выручкой облачных контрактов — и на ИИ-ассистента Joule, который, как утверждается, повышает производительность до 20% [5]. Но ни одна из этих цифр не вернет учетные данные, уже ушедшие на чужой сервер.

Уведомление об уязвимости оставляет решение о замене потенциально скомпрометированных учетных данных на усмотрение каждого клиента [6]. Для любого приложения, которое до сих пор работает на версии без исправления, достаточно одного специально сформированного параметра — и учетные данные его ИИ-агента уйдут на сервер злоумышленника [2]. В сентябре акции SAP уже торговались на 27% ниже пика — на фоне сомнений в дорожной карте развития ИИ, и это при продолжающейся программе обратного выкупа [9].

Итог недели определят два события: будет ли CVE-2026-89111 использована уже через несколько дней после выхода патча, как это было с августовской уязвимостью в Commerce Cloud, и покажет ли отчетность 21 октября, что эту премию несет на себе облачная выручка [4].

## Takeaway

Уязвимость с оценкой 10,0 по шкале CVSS в Cloud SDK for Python способна отправить учетные данные OAuth2 ИИ-агентов на сервер злоумышленника; SAP закрыла ее 13 октября, опыт компании показывает, что критические уязвимости эксплуатируют за считаные дни, а отчетность 21 октября оценивает ИИ-премию в 28,6 годовой прибыли.

## Sources

1. [SecurityWeek, "SAP Patches Critical NetWeaver, S/4HANA Vulnerabilities", 13 October 2026](https://www.securityweek.com/sap-patches-critical-netweaver-s-4hana-vulnerabilities/)
2. [SAP GitHub security advisory GHSA-4mv3-jxxm-9cx2, "OAuth2 SSRF vulnerability in SAP Cloud SDK for Python", published 13 October 2026](https://github.com/SAP/cloud-sdk-python/security/advisories/GHSA-4mv3-jxxm-9cx2)
3. [US National Vulnerability Database, "CVE-2026-89111 Detail", published 12 October 2026](https://nvd.nist.gov/vuln/detail/CVE-2026-89111)
4. [BleepingComputer, "SAP warns of maximum severity OAuth2 SSRF security flaw", 13 October 2026](https://www.bleepingcomputer.com/news/security/sap-warns-of-maximum-severity-oauth2-ssrf-security-flaw/)
5. [MarketBeat, "SAP (SAP) Projected to Announce Quarterly Earnings on Wednesday", 14 October 2026](https://www.marketbeat.com/instant-alerts/upcoming-sap-sap-projected-to-announce-quarterly-earnings-on-wednesday-2026-10-14/)
6. [The Hacker News, "SAP Discloses Critical CVSS 10 Flaw in Cloud SDK for Python Allowing OAuth2 Credential Theft", 13 October 2026](https://thehackernews.com/2026/10/sap-discloses-critical-cvss-10-flaw-in.html)
7. [SAP SE, quarterly figures from its SEC filings, retrieved 14 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001000184)
8. [Rescana, "Critical CVE-2026-89111 SSRF Vulnerability in SAP Cloud SDK for Python Threatens SAP BTP OAuth2 Security", 14 October 2026](https://www.rescana.com/post/critical-cve-2026-89111-ssrf-vulnerability-in-sap-cloud-sdk-for-python-threatens-sap-btp-oauth2-security)
9. [ad-hoc-news, "SAP's Patch Day Flags Two Critical Holes as Buyback Presses On and the Stock Sits 27% Under Its Peak", 11 September 2026](https://www.ad-hoc-news.de/boerse/news/unternehmensnachrichten/sap-s-patch-day-flags-two-critical-holes-as-buyback-presses-on-and-the-stock-sits-27-prozent-under/70088516)


---

SAP закрыла уязвимость «10 из 10», способную отправить учетные данные ИИ-агентов злоумышленникам; 21 октября — отчетность — The Inference. Canonical: https://theinference.org/article/sap-patches-a-10-out-of-10-flaw-that-can-send-ai-agents-credentials-to-attackers-earnings-due-october-21/ru