SAP i stormen: Kutter profittmål, faller på børs og må tette kritiske sikkerhetshull

Blandede Q2-resultater for 2026

SAPs Q2-resultater, også lagt frem 23. juli, ga et todelt bilde :

Det gode:

• Skyinntektene steg 24 prosent til 6,28 milliarder euro
• Nåværende skyordrebeholdning økte 27 prosent til 22,9 milliarder euro
• Ikke-IFRS driftsresultat steg 7 prosent (9 prosent i faste valutakurser) til 2,74 milliarder euro

Det mindre gode:

• Justert EPS kom inn på 1,82 dollar mot analytikernes forventning om 2,03 dollar
• Totalinntektene på 9,88 milliarder euro (11,24 milliarder dollar) bommet så vidt på konsensus
• Ikke-IFRS driftsresultatet var lavere enn analytikerne hadde håpet, til tross for årsvekst

Administrerende direktør Christian Klein fremhevet at "Q2 var nok et sterkt kvartal, preget av vedvarende vekst i skyordrebeholdning og fri kontantstrøm mot en ustabil makroøkonomisk bakgrunn" . Likevel økte resultatmangelen investorenes skepsis.

Kraftig kursfall og delvis bedring

SAP-aksjen har vært under sterkt press store deler av 2026:

• Januarsalget i 2026: Aksjen falt 15 prosent på én dag 29. januar etter at skyinntektsprognosene skuffet – det største daglige fallet siden oktober 2020 .
• Bredere KI-drevet utsal: Tidligere i januar nådde SAP-aksjen et 17-måneders lavpunkt i et KI-drevet salg som utslettet omtrent 130 milliarder dollar i markedsverdi fra toppen .
• Hittil i år: SAP-aksjen var ned omtrent 29–37 prosent hittil i år gjennom midten av 2026 .
• Reaksjon etter Q2: Etter resultatene 23. juli falt aksjen 1,79 prosent i ordinær handel, men steg 1,46 prosent i etterhandelen – noe som tyder på en viss lettelse hos investorer over at skyvekstfortellingen var intakt til tross for profittkuttet .

Analytikersentimentet er blandet. Morningstar mener aksjen er undervurdert med en «wide-moat»-rating, mens andre analytikere har kuttet kursmålene på grunn av bekymringer om KI-utgifter og marginpress .

To kritiske sikkerhetssårbarheter (august 2026 patchedag)

I tillegg til det økonomiske presset kom SAPs august 2026-sikkerhetsoppdatering med 30 sikkerhetsnotater, deriblant to kritiske feil :

CVE-2026-58231 (CVSS 10.0) – SAP Commerce Cloud

Dette er en sårbarhet med høyeste alvorsgrad; en utilstrekkelig autorisasjonssjekk i SAP Commerce Cloud (Data Hub Adapter) som påvirker COM_CLOUD-versjonene 2211 og 2211-JDK21. En uautentisert angriper kan misbruke en standard autentiseringsklient til å sende spesiallagde inndata og oppnå vilkårlig kjøring av kode .

Ifølge SAP Security Note #3771065 skyldes feilen manglende autorisasjonskontroller og inndatavalidering .

CVE-2026-44764 (CVSS 9.9) – SAP Manufacturing Integration and Intelligence

Denne sårbarheten innebærer en manglende autorisasjonssjekk i SAP Manufacturing Integration and Intelligence. En uautentisert angriper kan sende spesiallagde forespørsler til Cost Servlet med bestemte parameterverdier, noe som gir tilgang til backend-operasjoner. Ved vellykket utnyttelse kan angriperen lese, opprette, endre eller slette applikasjonsadministrerte forretningsdata .

NVD (National Vulnerability Database) bekrefter at dette er en «Missing Authorization Check»-sårbarhet som kan føre til datatilgang eller endring .

SAP har sluppet patcher for begge sårbarhetene . Kunder som bruker berørte versjoner, bør prioritere disse oppdateringene – spesielt Commerce Cloud-sårbarheten som har høyest mulig CVSS-score.

Det større bildet: Hva disse utfordringene betyr

Samlet sett utgjør disse problemene en stresstest for SAPs transformasjonsstrategi. Kuttet i profittmålet og kursfallet gjenspeiler markedets utålmodighet med de kortsiktige kostnadene ved KI-investeringer, selv om skyveksten forblir sterk. Sikkerhetssårbarhetene legger operasjonell risiko til en tid da investorfokuset allerede er rettet mot gjennomføring.

For IT-sjefer og SAP-kunder er hovedbudskapene tydelige:

• Finansiell helse: SAPs kjernevirksomhet innen sky er fortsatt sunn, med 24 prosents inntektsvekst og en ordrereserve på 22,9 milliarder euro. Profittkuttet er en taktisk M&A-kostnad, ikke et signal om svekket etterspørsel.
• Sikkerhetsstilling: Augusts patchedag bør behandles som kritisk. CVE-2026-58231 (CVSS 10.0) i Commerce Cloud er så alvorlig som det blir – patche umiddelbart.
• Aksjevolatilitet: Nedgangen på 29-37 prosent hittil i år gjenspeiler sentiment og KI-utgiftsbekymringer snarere enn svekkede fundamentale forhold, men investorer bør følge Q3 2026 nøye for tegn til bedring i driftsmessig innflytelse.