SAP: taglio dell’outlook sugli utili, rosso in Borsa e due falle di sicurezza gravissime. La triplice minaccia

Risultati contrastanti del secondo trimestre 2026

I risultati del Q2 2026 di SAP, pubblicati anch'essi il 23 luglio, dipingono un quadro a due facce :

La parte positiva:

• I ricavi dal cloud sono aumentati del 24% a €6,28 miliardi
• Il portafoglio ordini cloud attuale è balzato del 27% a €22,9 miliardi
• L'utile operativo non-IFRS è cresciuto del 7% (+9% a cambi costanti) a €2,74 miliardi

La parte meno positiva:

• L'utile per azione adjusted è stato di $1,82 rispetto alle stime degli analisti di $2,03
• I ricavi totali di €9,88 miliardi ( $11,24 miliardi) hanno mancato di poco il consenso
• L'utile operativo non-IFRS è stato inferiore alle attese degli analisti nonostante l'aumento anno su anno

L'amministratore delegato Christian Klein ha sottolineato che "il Q2 è stato un altro trimestre solido, caratterizzato dalla crescita sostenuta del portafoglio ordini cloud attuale e del free cash flow in un contesto macroeconomico volatile" . Tuttavia, la mancata corrispondenza degli utili ha alimentato lo scetticismo degli investitori.

Il forte calo del titolo e il parziale recupero

Le azioni SAP sono state sotto forte pressione per gran parte del 2026:

• Vendite di massa del gennaio 2026: Il titolo è crollato del 15% in un solo giorno il 29 gennaio dopo che le previsioni sui ricavi del cloud hanno deluso, segnando il calo giornaliero più ripido dall'ottobre 2020 .
• Vendite più ampie legate all'AI: All'inizio di gennaio, le azioni SAP avevano toccato il minimo degli ultimi 17 mesi in una svendita legata all'AI che ha cancellato circa 130 miliardi di dollari di valore di mercato dal picco precedente .
• Performance da inizio anno: Le azioni SAP erano in calo di circa il 29-37% da inizio anno a metà 2026 .
• Reazione post-Q2: Dopo la pubblicazione dei risultati del 23 luglio, il titolo è sceso dell'1,79% nelle contrattazioni regolari ma ha recuperato l'1,46% nelle contrattazioni after-hours, suggerendo un certo sollievo degli investitori per il fatto che la narrativa della crescita del cloud rimaneva intatta nonostante il taglio degli utili .

Il sentiment degli analisti rimane contrastante. Morningstar vede il titolo come sottovalutato con un rating di ampio vantaggio competitivo, mentre altri analisti hanno tagliato i target price a causa delle preoccupazioni per la spesa in AI e la pressione sui margini .

Due vulnerabilità di sicurezza critiche (Patch Day di agosto 2026)

Ad aumentare la pressione operativa e reputazionale, il Patch Day di sicurezza di agosto 2026 di SAP ha divulgato 30 note di sicurezza, inclusi due difetti critici :

CVE-2026-58231 (CVSS 10.0) — SAP Commerce Cloud

Si tratta di una vulnerabilità di autorizzazione impropria di gravità massima in SAP Commerce Cloud (Data Hub Adapter), che interessa le versioni COM_CLOUD 2211 e 2211-JDK21. Un attaccante non autenticato può abusare di un client di autenticazione predefinito e inviare input appositamente predisposti per ottenere l'esecuzione di codice arbitrario .

Secondo la nota di sicurezza SAP #3771065, il difetto deriva da controlli di autorizzazione e validazione degli input insufficienti .

CVE-2026-44764 (CVSS 9.9) — SAP Manufacturing Integration and Intelligence

Questa vulnerabilità comporta un controllo di autorizzazione mancante in SAP Manufacturing Integration and Intelligence. Un attaccante non autenticato può inviare richieste appositamente predisposte al Cost Servlet utilizzando specifici valori di parametro, consentendo l'accesso alle operazioni di backend. Lo sfruttamento riuscito potrebbe permettere all'attaccante di leggere, creare, modificare o eliminare i dati aziendali gestiti dall'applicazione .

La voce NVD conferma che si tratta di una vulnerabilità di "Controllo di autorizzazione mancante" che potrebbe portare all'accesso o alla modifica dei dati .

SAP ha rilasciato le patch per entrambe le vulnerabilità . I clienti che utilizzano le versioni interessate dovrebbero dare priorità a questi aggiornamenti, specialmente per il difetto di Commerce Cloud che ha il punteggio CVSS più alto possibile.

Il quadro generale: cosa significano queste sfide

Considerate insieme, queste questioni rappresentano un test di stress per la strategia di trasformazione di SAP. Il taglio delle stime di profitto e il calo del titolo riflettono l'impazienza del mercato verso il costo a breve termine dell'investimento in AI, anche se la crescita del cloud rimane forte. Le vulnerabilità di sicurezza aggiungono un rischio operativo in un momento in cui l'attenzione degli investitori è già focalizzata sull'esecuzione.

Per i CIO e i clienti SAP, i punti chiave sono chiari:

• Salute finanziaria: Il business cloud principale di SAP rimane solido, con una crescita dei ricavi del 24% e un portafoglio ordini di 22,9 miliardi di euro. Il taglio degli utili è un costo tattico di M&A, non un segnale di domanda.
• Postura di sicurezza: Il patch day di agosto 2026 dovrebbe essere trattato come urgente. La CVE-2026-58231 (CVSS 10.0) in Commerce Cloud è grave come non mai – applicare la patch immediatamente.
• Volatilità del titolo: Il calo del 29-37% da inizio anno riflette il sentiment e le preoccupazioni per la spesa in AI piuttosto che un deterioramento dei fondamentali, ma gli investitori dovrebbero monitorare il Q3 2026 per vedere segnali di miglioramento della leva operativa.