SAP presset på tre fronter: AI-opkøb tærer på overskuddet, aktien styrtdykker, og sikkerhedshuller truer

Blandet Q2 2026-regnskab

SAP's Q2-resultater for 2026, også offentliggjort den 23. juli, viste et todelt billede :

Det gode:

• Cloudomsætningen steg 24 pct. til 6,28 mia. euro
• Cloud-backloggen voksede 27 pct. til 22,9 mia. euro
• Non-IFRS driftsoverskud steg 7 pct. (9 pct. i faste valutaer) til 2,74 mia. euro

Det mindre gode:

• Justeret EPS landede på 1,82 dollar mod analytikernes forventning på 2,03 dollar
• Samlet omsætning på 9,88 mia. euro (11,24 mia. dollar) missede konsensusforventningerne
• Non-IFRS driftsoverskud levede ikke op til analysetforventningerne på trods af den årlige vækst

Adm. direktør Christian Klein fremhævede, at "Q2 var endnu et stærkt kvartal, især med vedvarende vækst i cloud-backloggen og frit cash flow i en volatil makroøkonomisk situation" . Alligevel øgede regnskabsmissen investorskepsisen.

Kraftigt aktiefald – og delvis genrejsning

SAP-aktien har været under hårdt pres gennem store dele af 2026:

• Salgsbølge i januar 2026: Aktien faldt 15 pct. på en enkelt dag den 29. januar, efter at cloudomsætningsprognoserne skuffede – den stejleste én-dags tilbagegang siden oktober 2020 .
• Bredere AI-drevet udsalg: Tidligere i januar nåede SAP-aktien et 17-måneders lavpunkt i et AI-drevet salg, der slettede omkring 130 mia. dollar i markedsværdi fra det foregående højdepunkt .
• År-til-dato: SAP-aktien var faldet cirka 29–37 pct. år-til-dato midt i 2026 .
• Reaktion efter Q2: Efter regnskabet den 23. juli faldt aktien 1,79 pct. i almindelig handel, men steg 1,46 pct. i eftermarkedet – tegn på, at investorer åndede lettet op over, at cloudvækstfortællingen var intakt trods overskudsnedjusteringen .

Analytikernes holdning er fortsat blandet. Morningstar ser aktien som undervurderet med en 'wide-moat'-rating, mens andre analytikere har skåret i kursmålene på grund af bekymringer om AI-omkostninger og marginpres .

To kritiske sikkerhedshuller (august 2026 patch day)

Som om det ikke var nok, offentliggjorde SAP i sin august 2026 sikkerhedspatchdag 30 sikkerhedsnotes, herunder to kritiske sårbarheder :

CVE-2026-58231 (CVSS 10,0) – SAP Commerce Cloud

Dette er en maksimalt alvorlig sårbarhed med utilstrækkelig autorisation i SAP Commerce Cloud (Data Hub Adapter), der påvirker COM_CLOUD version 2211 og 2211-JDK21. En uautoriseret angriber kan misbruge en standardautentificeringsklient og sende specialudviklet input for at opnå vilkårlig kodeeksekvering .

Ifølge SAP Security Note #3771065 skyldes fejlen utilstrækkelige autorisationstjek og inputvalidering .

CVE-2026-44764 (CVSS 9,9) – SAP Manufacturing Integration and Intelligence

Denne sårbarhed skyldes en manglende autorisationstjek i SAP Manufacturing Integration and Intelligence. En uautoriseret angriber kan sende specialudviklede anmodninger til Cost Servlet med bestemte parameterværdier, hvilket giver adgang til back-end-operationer. Succesfuld udnyttelse kan gøre det muligt for angriberen at læse, oprette, ændre eller slette applikationsadministrerede forretningsdata .

NVD-beskrivelsen bekræfter, at der er tale om en sårbarhed med manglende autorisationstjek, der kan føre til dataadgang eller -ændring .

SAP har udsendt patches for begge sårbarheder . Kunder, der bruger de berørte versioner, bør prioritere disse opdateringer – især Commerce Cloud-sårbarheden, som har den højest mulige CVSS-score.

Det store billede: Hvad betyder udfordringerne?

Samlet set udgør disse problemer en stresstest for SAP's transformationsstrategi. Nedjusteringen af overskudsmålet og aktiefaldet afspejler markedets utålmodighed med de kortsigtede omkostninger ved AI-investeringer, selvom cloudvæksten forbliver stærk. Sikkerhedshullerne tilfører operationel risiko på et tidspunkt, hvor investorernes opmærksomhed i forvejen er rettet mod eksekvering.

For it-direktører og SAP-kunder er de vigtigste konklusioner:

• Økonomisk sundhed: SAP's kernecloudforretning er fortsat sund med 24 pct. omsætningsvækst og en backlog på 22,9 mia. euro. Overskudsnedjusteringen er en taktisk M&A-omkostning, ikke et efterspørgselssignal.
• Sikkerhed: August 2026's patchdag bør behandles som akut. CVE-2026-58231 (CVSS 10,0) i Commerce Cloud er så alvorlig, som det kan blive – patch straks.
• Aktievolatilitet: År-til-dato faldet på 29–37 pct. afspejler stemning og AI-omkostningsbekymringer snarere end forringede fundamentale forhold, men investorer bør holde øje med Q3 2026 som tegn på forbedret driftsmæssig gearing.