SAP sous pression : acquisitions IA, résultats mitigés, action en baisse et failles de sécurité majeures

SAP traverse une conjoncture rare où se conjuguent des défis financiers, boursiers et de sécurité, mettant à l'épreuve la confiance des investisseurs et la résilience opérationnelle. En l'espace de quelques semaines, le plus grand éditeur de logiciels européen a réduit ses prévisions de bénéfices 2026 en raison du coût d'acquisitions dans l'IA, publié des résultats T2 mitigés qui ont manqué les estimations, vu son action chuter de 29 à 37% depuis le début de l'année, et divulgué deux vulnérabilités de sécurité critiques avec les notes de sévérité les plus élevées.

Voici une analyse structurée de chaque défi et de ce qu'il signifie pour SAP, ses clients et ses investisseurs.

Révision des prévisions de bénéfices due aux acquisitions IA

Le 23 juillet 2026, SAP a réduit ses prévisions de bénéfice opérationnel non-IFRS pour l'ensemble de l'année 2026 à 11,8–12,2 milliards d'euros, contre une fourchette précédente de 11,9–12,3 milliards d'euros . La société a cité une dilution de plus de 100 millions d'euros liée à la clôture en juillet de deux acquisitions axées sur l'IA : la société de données Dremio et la startup d'IA Prior Labs .

Malgré cette réduction, SAP a maintenu son objectif de chiffre d'affaires cloud 2026 inchangé, entre 25,8 et 26,2 milliards d'euros, signalant que cette révision est liée à un investissement lié aux acquisitions plutôt qu'à un changement des attentes en matière de demande . Cela souligne le coût à court terme du virage vers les capacités d'IA, un compromis que de nombreux éditeurs de logiciels d'entreprise sont désormais contraints de faire.

Résultats mitigés du T2 2026

Les résultats du T2 2026 de SAP, également publiés le 23 juillet, dressent un tableau contrasté :

Les bonnes nouvelles :

• Le chiffre d'affaires cloud a augmenté de 24% pour atteindre 6,28 milliards d'euros
• Le carnet de commandes cloud actuel a bondi de 27% à 22,9 milliards d'euros
• Le bénéfice opérationnel non-IFRS a augmenté de 7% (9% à taux de change constants) pour atteindre 2,74 milliards d'euros

Les moins bonnes nouvelles :

• Le BPA ajusté s'est établi à 1,82 $, contre des estimations des analystes de 2,03 $
• Le chiffre d'affaires total de 9,88 milliards d'euros (11,24 milliards de dollars) a légèrement manqué le consensus
• Le bénéfice opérationnel non-IFRS n'a pas atteint les attentes des analystes malgré la hausse sur un an

Le PDG Christian Klein a souligné que « le T2 a été un autre trimestre solide, marqué par une croissance soutenue du carnet de commandes cloud et du flux de trésorerie disponible dans un contexte macroéconomique volatil » . Cependant, l'écart par rapport aux estimations a renforcé le scepticisme des investisseurs.

Forte baisse de l'action et reprise partielle

L'action SAP a été soumise à une forte pression pendant une grande partie de l'année 2026 :

• Vente massive de janvier 2026 : L'action a chuté de 15% en une seule journée le 29 janvier après que les prévisions de chiffre d'affaires cloud ont déçu, marquant la plus forte baisse sur une séance depuis octobre 2020 .
• Vente plus large liée à l'IA : Plus tôt en janvier, l'action SAP avait touché son plus bas niveau en 17 mois lors d'une vente massive alimentée par l'IA qui a effacé environ 130 milliards de dollars de valeur de marché par rapport au pic précédent .
• Performance depuis le début de l'année : L'action SAP était en baisse d'environ 29 à 37% depuis le début de l'année à la mi-2026 .
• Réaction après le T2 : Après la publication des résultats du 23 juillet, l'action a chuté de 1,79% en séance régulière mais a rebondi de 1,46% après la clôture, suggérant un certain soulagement des investisseurs que la narrative de croissance du cloud reste intacte malgré la réduction des bénéfices .

Le sentiment des analystes reste mitigé. Morningstar considère l'action comme sous-évaluée avec une notation de large fossé économique, tandis que d'autres analystes ont réduit leurs objectifs de cours en raison des inquiétudes concernant les dépenses en IA et la pression sur les marges .

Deux vulnérabilités de sécurité critiques (Correctif d'août 2026)

Ajoutant à la pression opérationnelle et réputationnelle, le Correctif de Sécurité d'août 2026 de SAP a divulgué 30 notes de sécurité, dont deux failles critiques :

CVE-2026-58231 (CVSS 10.0) — SAP Commerce Cloud

Il s'agit d'une vulnérabilité d'autorisation incorrecte de sévérité maximale dans SAP Commerce Cloud (Data Hub Adapter), affectant les versions COM_CLOUD 2211 et 2211-JDK21. Un attaquant non authentifié peut abuser d'un client d'authentification par défaut et soumettre une entrée spécialement conçue pour parvenir à une exécution de code arbitraire .

Selon la note de sécurité SAP #3771065, la faille provient de contrôles d'autorisation et d'une validation d'entrée insuffisants .

CVE-2026-44764 (CVSS 9.9) — SAP Manufacturing Integration and Intelligence

Cette vulnérabilité implique un contrôle d'autorisation manquant dans SAP Manufacturing Integration and Intelligence. Un attaquant non authentifié peut envoyer des requêtes conçues au Cost Servlet en utilisant des valeurs de paramètres spécifiques, permettant l'accès aux opérations backend. Une exploitation réussie pourrait permettre à l'attaquant de lire, créer, modifier ou supprimer des données métier gérées par l'application .

L'entrée NVD confirme qu'il s'agit d'une vulnérabilité de « contrôle d'autorisation manquant » qui pourrait conduire à un accès ou à une modification des données .

SAP a publié des correctifs pour les deux vulnérabilités . Les clients utilisant des versions affectées doivent prioriser ces mises à jour, en particulier la faille Commerce Cloud qui porte la note CVSS la plus élevée possible.

Vue d'ensemble : ce que ces défis signifient

Pris ensemble, ces problèmes représentent un test de résistance pour la stratégie de transformation de SAP. La réduction des prévisions de bénéfices et la baisse de l'action reflètent l'impatience du marché face au coût à court terme de l'investissement dans l'IA, même si la croissance du cloud reste forte. Les vulnérabilités de sécurité ajoutent un risque opérationnel à un moment où l'attention des investisseurs est déjà concentrée sur l'exécution.

Pour les DSI et les clients de SAP, les principaux points à retenir sont clairs :

• Santé financière : L'activité cloud de base de SAP reste saine, avec une croissance du chiffre d'affaires de 24% et un carnet de commandes de 22,9 milliards d'euros. La réduction des bénéfices est un coût tactique lié aux fusions-acquisitions, pas un signal de demande.
• Posture de sécurité : Le correctif d'août 2026 doit être traité comme urgent. La CVE-2026-58231 (CVSS 10.0) dans Commerce Cloud est aussi grave que possible — appliquez le correctif immédiatement.
• Volatilité boursière : La baisse de 29 à 37% depuis le début de l'année reflète le sentiment et les inquiétudes concernant les dépenses en IA plutôt qu'une détérioration des fondamentaux, mais les investisseurs doivent surveiller le T3 2026 pour détecter des signes d'amélioration du levier opérationnel.