---
title: "SAP修复CVSS满分漏洞，AI智能体凭证可被发往攻击者服务器；10月21日发布财报"
description: "SAP在10月补丁日修补了CVE-2026-89111。这一CVSS评分10.0的满分漏洞，能将SAP的AI智能体在客户系统内使用的OAuth2凭证交到外部人员手中。该股目前市盈率达28.6倍，市场正围绕其AI落地成效定价，公司将于10月21日发布财报。"
publisher: "The Inference"
section: "Safety"
published: 2026-10-14T17:18:14.208Z
modified: 2026-10-14T17:18:14.208Z
canonical: https://theinference.org/article/sap-patches-a-10-out-of-10-flaw-that-can-send-ai-agents-credentials-to-attackers-earnings-due-october-21/zh-CN
language: zh-CN
keywords: "Security, SAP, AI Agents, Enterprise Software, Earnings"
---

# SAP修复CVSS满分漏洞，AI智能体凭证可被发往攻击者服务器；10月21日发布财报

> SAP在10月补丁日修补了CVE-2026-89111。这一CVSS评分10.0的满分漏洞，能将SAP的AI智能体在客户系统内使用的OAuth2凭证交到外部人员手中。该股目前市盈率达28.6倍，市场正围绕其AI落地成效定价，公司将于10月21日发布财报。

## 一个URL参数，即可送出密钥

2026年10月13日，[SAP](https://theinference.org/markets/companies/sap)的10月补丁日共发布22份新增及更新的安全公告，其中4份被评为“严重”级[1]。最严重的是[CVE-2026-89111——一个CVSS评分10.0（满分10分）的服务器端请求伪造（SSRF）漏洞](https://nvd.nist.gov/vuln/detail/CVE-2026-89111)，已在Cloud SDK for Python 0.45.2版本中修复。这套SDK是SAP的官方工具包，用于在其业务技术平台（Business Technology Platform）云上构建AI智能体和Python应用[1][2][4]。

该SDK通过一个名为tenant_subdomain的参数值来标识请求所属的客户。只要向它传入一个恶意构造的值，SDK就会围绕该值构建令牌请求，把[应用的OAuth2客户端ID和密钥](https://github.com/SAP/cloud-sdk-python/security/advisories/GHSA-4mv3-jxxm-9cx2)——软件在SAP云上完成身份验证所用的长期凭证——发送到攻击者控制的服务器[2]。全程无需登录、无需任何权限，也无需诱骗用户[3]。

这个时点，恰好落在钱上。SAP目前市盈率为28.6倍，股价报220.10美元，而分析师平均目标价为264.71美元；公司将于10月21日收盘后发布第三季度业绩，[市场共识为每股收益2.04美元、营收114.5亿美元](https://www.marketbeat.com/instant-alerts/upcoming-sap-sap-projected-to-announce-quarterly-earnings-on-wednesday-2026-10-14/)。此前7月发布的那份季报不及预期，每股收益1.82美元，低于2.00美元的分析师预期[5]。

## 8月已完成修复，9月又出现回退

用于拦截恶意构造子域名的校验逻辑，最早于8月21日随0.45.2版本上线，当时列在“缺陷修复”项下，对安全问题只字未提；53天之后，安全通告才发布[6]。在该版本之前，SDK没有任何版本包含这项校验[6]。

9月10日至18日间发布的六个版本（0.53.0至0.55.0），将Destination服务模块的令牌处理迁移到新的共享代码上，而这段新代码跳过了该项校验[6]。较旧的0.36版本线上、于8月修复之后发布的两个版本，则从未包含该项校验[6]。

安全通告的受影响清单中没有任何高于0.45.2的版本，通告本身和发行说明也均未说明：9月的这六个版本是否属于该CVE的影响范围、运行过这些版本的应用是否应当更换凭证[6]。最新版本0.58.4则通过了SAP自己的全部11项测试[6]。

## SAP的高危漏洞，往往数日内就被利用

这个补丁之所以重要，是因为SAP近期的“严重”级漏洞从来不只是纸面威胁。8月，Commerce Cloud的一处最高严重等级漏洞[在修复发布仅数日后即被标记为已遭在野利用](https://www.bleepingcomputer.com/news/security/sap-warns-of-maximum-severity-oauth2-ssrf-security-flaw/)[4]。9月的CVE-2026-44756则暴露在超过1万台面向互联网的系统上，统计来自上报该漏洞的网络安全公司Onapsis[4]。美国网络安全和基础设施安全局（CISA）的已知被利用漏洞目录（KEV）可追溯至2021年11月，目录中已收录14个SAP漏洞，其中3个与勒索软件有关[4]。

## 漏洞砸中的，正是股价里的溢价

撇开安全层面的杂音，SAP的生意仍在复利式增长：营收已连续12个季度超过上年同期，6月当季为112亿美元[7]。下一组数据将随10月21日的财报揭晓，分析师预期营收114.5亿美元[5]。

*Chart: **营收连续12个季度超过上年同期，下一个数据10月21日揭晓** 折线图：SAP季度营收自2023年第三季度升至2026年第二季度，整体上行，并以虚线标出2026年第三季度114.5亿美元的预估点。*

*季度营收，单位十亿美元，取自向美国证券交易委员会（SEC）提交的文件，按日历季度划分。2026年第三季度预估值（Q3 2026e）为MarketBeat汇总的分析师一致预期，并非公司披露数据。 [5][7]*

## 暂无攻击坐实，10月21日财报检验溢价成色

目前尚无证据证实新漏洞已遭利用，它也未列入CISA的目录[8]。SAP[已发布补丁和临时缓解措施](https://www.securityweek.com/sap-patches-critical-netweaver-s-4hana-vulnerabilities/)——一份已注册tenant_subdomain的白名单[2]。看多的逻辑倚仗两点：一是当前云储备（current cloud backlog）增长26%，即已签订但尚未确认为收入的云合同；二是SAP的AI助手Joule，据称最多可将生产力提升20%[5]。但无论哪个数字，都收不回已经送到错误服务器上的凭证。

是否更换可能已泄露的凭证，安全通告把决定权留给各家客户[6]。只需一个构造参数，任何仍在运行未修复版本的应用，都可能把AI智能体的凭证送到攻击者的服务器[2]。受市场对AI路线图的疑虑拖累，该股9月已较峰值回落27%，同期回购仍在下方托底[9]。

两件事将决定本周走向：一是CVE-2026-89111是否会像8月的Commerce Cloud漏洞那样，在修复发布后数日内即遭利用；二是10月21日的财报能否显示云收入撑得起这份溢价[4]。

## Takeaway

SAP的Cloud SDK for Python中存在一个CVSS评分10.0的满分漏洞，可将AI智能体的OAuth2凭证发送到攻击者的服务器，SAP已于10月13日发布补丁。该公司过往记录显示，其高危漏洞往往在补丁发布数日内即遭实际利用；10月21日出炉的财报，将检验28.6倍市盈率背后的AI溢价成色。

## Sources

1. [SecurityWeek, "SAP Patches Critical NetWeaver, S/4HANA Vulnerabilities", 13 October 2026](https://www.securityweek.com/sap-patches-critical-netweaver-s-4hana-vulnerabilities/)
2. [SAP GitHub security advisory GHSA-4mv3-jxxm-9cx2, "OAuth2 SSRF vulnerability in SAP Cloud SDK for Python", published 13 October 2026](https://github.com/SAP/cloud-sdk-python/security/advisories/GHSA-4mv3-jxxm-9cx2)
3. [US National Vulnerability Database, "CVE-2026-89111 Detail", published 12 October 2026](https://nvd.nist.gov/vuln/detail/CVE-2026-89111)
4. [BleepingComputer, "SAP warns of maximum severity OAuth2 SSRF security flaw", 13 October 2026](https://www.bleepingcomputer.com/news/security/sap-warns-of-maximum-severity-oauth2-ssrf-security-flaw/)
5. [MarketBeat, "SAP (SAP) Projected to Announce Quarterly Earnings on Wednesday", 14 October 2026](https://www.marketbeat.com/instant-alerts/upcoming-sap-sap-projected-to-announce-quarterly-earnings-on-wednesday-2026-10-14/)
6. [The Hacker News, "SAP Discloses Critical CVSS 10 Flaw in Cloud SDK for Python Allowing OAuth2 Credential Theft", 13 October 2026](https://thehackernews.com/2026/10/sap-discloses-critical-cvss-10-flaw-in.html)
7. [SAP SE, quarterly figures from its SEC filings, retrieved 14 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001000184)
8. [Rescana, "Critical CVE-2026-89111 SSRF Vulnerability in SAP Cloud SDK for Python Threatens SAP BTP OAuth2 Security", 14 October 2026](https://www.rescana.com/post/critical-cve-2026-89111-ssrf-vulnerability-in-sap-cloud-sdk-for-python-threatens-sap-btp-oauth2-security)
9. [ad-hoc-news, "SAP's Patch Day Flags Two Critical Holes as Buyback Presses On and the Stock Sits 27% Under Its Peak", 11 September 2026](https://www.ad-hoc-news.de/boerse/news/unternehmensnachrichten/sap-s-patch-day-flags-two-critical-holes-as-buyback-presses-on-and-the-stock-sits-27-prozent-under/70088516)


---

SAP修复CVSS满分漏洞，AI智能体凭证可被发往攻击者服务器；10月21日发布财报 — The Inference. Canonical: https://theinference.org/article/sap-patches-a-10-out-of-10-flaw-that-can-send-ai-agents-credentials-to-attackers-earnings-due-october-21/zh-CN