SAP、AI投資の代償と2つのCVSS最高スコア脆弱性——投資家と顧客への影響を徹底解説

明暗を分けたQ2 2026決算

同じく7月23日に発表された2026年第2四半期の決算は、好調な部分と失望を招いた部分が混在する内容となった 。

好調な指標

• クラウド収益は前年比24%増の62.8億ユーロ
• 現在のクラウドバックログ（受注残高）は27%増の229億ユーロに急増
• 非IFRS営業利益は7%（為替影響除く実質ベースで9%）増加し、27.4億ユーロに

期待を下回った指標

• 調整後EPS（1株当たり利益）は1.82ドルと、アナリスト予想の2.03ドルを下回った
• 総収益は98.8億ユーロ（112.4億ドル）で、市場コンセンサスにわずかに届かなかった
• 非IFRS営業利益は前年比で増加したものの、アナリスト予想には届かなかった

CEOのクリスチャン・クライン氏は「第2四半期は、不安定なマクロ経済環境の中で、持続的なクラウドバックログとフリーキャッシュフローの成長が際立った、もう一つの力強い四半期でした」と述べている 。しかし、EPSのミスは投資家の慎重な見方を強めた。

急激な株価下落と部分的な回復

SAPの株価は2026年の大半を通じて強い売り圧力にさらされてきた。

• 2026年1月の急落：1月29日、クラウド収益の見通しが失望させたことから株価は一日で15%下落し、2020年10月以来の大きな下げ幅を記録した 。
• AI主導の広範な売り：1月初旬には、AI関連の売りでSAP株は17ヶ月ぶりの安値を付け、ピーク時の時価総額から約1300億ドルが消失した 。
• 年初来のパフォーマンス：SAP株は2026年半ば時点で、年初来およそ29～37%下落している 。
• Q2決算後の反応：7月23日の決算発表後、株価は通常取引で1.79%下落したが、時間外取引では1.46%回復した。これは、利益目標の引き下げがあったものの、クラウド成長のストーリーが損なわれていないという見方が一部の投資家に安心感を与えたことを示唆している 。

アナリストの見方は依然として分かれている。Morningstarは同社に広い経済的堀（wide moat）があると評価し、株価は割安だと見る一方、他のアナリストはAI支出と利益率への懸念から目標株価を引き下げている 。

2件のクリティカルなセキュリティ脆弱性（2026年8月パッチデー）

運営面および風評面での圧力にさらに拍車をかける形で、SAPの2026年8月セキュリティパッチデーでは、30件のセキュリティノートが公開され、そのうち2件がクリティカルな脆弱性として報告された 。

CVE-2026-58231（CVSS 10.0）— SAP Commerce Cloud

SAP Commerce Cloud（Data Hub Adapter） に存在する、不十分な認可処理に起因する脆弱性で、影響を受けるバージョンはCOM_CLOUD 2211および2211-JDK21。認証されていない攻撃者がデフォルトの認証クライアントを悪用し、特別に細工された入力を送信することで、任意のコード実行が可能になります 。

SAPのセキュリティノート#3771065によれば、この欠陥は不十分な認可チェックと入力検証に起因するとされています 。

CVE-2026-44764（CVSS 9.9）— SAP Manufacturing Integration and Intelligence

SAP Manufacturing Integration and Intelligence における認可チェックの欠落が原因で、認証されていない攻撃者が特定のパラメータ値を用いてCost Servletに細工したリクエストを送信することで、バックエンドのオペレーションにアクセスできてしまいます。この脆弱性の悪用に成功した場合、攻撃者はアプリケーションが管理する業務データの読み取り、作成、変更、削除が可能になる可能性があります 。

米国国家脆弱性データベース（NVD）のエントリーでも、これは「認可チェックの欠落（Missing Authorization Check）」の脆弱性であり、データへのアクセスや改ざんにつながる可能性があると確認されています 。

SAPはこれらの脆弱性に対するパッチをすでにリリースしています 。影響を受けるバージョンをご利用のお客様は、特にCVSSレーティングが最高値であるCommerce Cloudの脆弱性については、アップデートを最優先で適用する必要があります。

全体像：これらの課題が意味するもの

これらの問題を総合すると、SAPの変革戦略にとってのストレステストと言えます。利益見通しの下方修正と株価下落は、クラウドの成長が依然として堅調であるにもかかわらず、市場がAI投資の短期的なコストに我慢ならなくなっていることを反映しています。そして、セキュリティ脆弱性は、投資家の視線がすでに経営の執行力に向けられているまさにその時に、運用上のリスクを追加するものです。

CIOやSAPのユーザー企業にとっての主なポイントは以下の通りです。

• 財務の健全性：SAPの中核であるクラウド事業は、24%の収益成長と229億ユーロのバックログに支えられ、依然として堅調です。利益目標の引き下げは戦略的なM&Aに伴う一時的なコストであり、需要の低迷を示すシグナルではありません。
• セキュリティ態勢：2026年8月のパッチデーは緊急対応が必要です。Commerce CloudのCVE-2026-58231（CVSS 10.0）は、文字通り最も深刻な脆弱性です。直ちにパッチを適用してください。
• 株価の変動：年初来29～37%の下落は、業績の悪化というよりは、市場心理やAIへの支出懸念を反映したものです。しかし、投資家は2026年第3四半期の決算で、営業レバレッジの改善が見られるかどうかを注視すべきでしょう。