Acciones de Qualys: del pánico por la IA al máximo histórico

En abril, el mercado firmó el acta de defunción de Qualys. Seis meses después, la acción está en máximos. Las acciones de Qualys cerraron el viernes 23 de octubre en 216,70 dólares, un 4,1% más en el día, en su mejor cierre desde que cotizan. Suben un 63% en 2026 y un 184% desde el mínimo del 10 de abril (76,20 dólares). Aquella primavera, los inversores habían decidido que los modelos de inteligencia artificial capaces de encontrar fallos de software por sí solos harían innecesario a quien vende precisamente eso: localizar vulnerabilidades.

La empresa es la misma. El negocio, también. Lo que ha cambiado es el relato. Y, como casi siempre que el precio de un activo se mueve mucho más que sus fundamentos, me interesa más lo segundo que lo primero: qué ha hecho Qualys con su caja mientras el mercado cambiaba de opinión sobre ella.

Las cifras clave de Qualys: acciones de Qualys

Del pánico de abril al récord de octubre

La caída tuvo tres actos. El 6 de febrero, Qualys publicó una guía para 2026 que decepcionó: ingresos de 717 a 725 millones de dólares, un crecimiento de solo el 7–8%, y un beneficio por acción ajustado por debajo de lo que esperaba el consenso. La acción perdió un 13% en una sesión. A finales de ese mes, Anthropic presentó una herramienta de revisión de código con IA y el sector de la ciberseguridad sufrió otra ola de ventas. En abril llegó la tercera, con Claude Mythos, un modelo capaz de descubrir fallos de software a una escala que, según algunos inversores de capital riesgo, convertía a las empresas de gestión de vulnerabilidades en las más amenazadas del sector. El 9 de abril Qualys cayó otro 13%. Del cierre de 2025 al mínimo de abril, la acción perdió un 43%.

La recuperación llegó en dos fases. La primera, con los resultados del segundo trimestre (4 de agosto): ingresos un 11% superiores, la facturación corriente creciendo un 16% y la guía anual elevada por segunda vez, a 732–738 millones. La acción subió casi un 14% al día siguiente. La segunda es de esta misma semana. El 21 de octubre se conocieron dos fallos críticos en PHP, el lenguaje que usa cerca del 70% de las webs, que permiten ejecutar código a distancia en los servidores afectados. Una encuesta de Evercore ISI entre distribuidores, además, apuntaba a presupuestos de ciberseguridad más firmes de cara al cierre del año. El viernes, Qualys ofreció servicios gratuitos para localizarlos y corregirlos, y el sector entero subió: CrowdStrike un 8%, Tenable un 6%, Qualys un 4%.

Es decir: la misma tecnología que en abril iba a dejar a Qualys sin negocio es la que en octubre lo hace imprescindible. La tesis de la dirección, que repitió en la conferencia de agosto, es que la IA acelera tanto el descubrimiento de vulnerabilidades como su explotación, y que eso desplaza el valor de encontrar fallos a corregirlos antes de que alguien los aproveche. En palabras de su consejero delegado, Sumedh Thakar: «No se puede resolver un problema de minutos con una solución de un mes».

Lo que el precio ha descontado y lo que el negocio ha entregado

Pongamos los dos movimientos uno al lado del otro. Desde el mínimo de abril, la acción casi se ha triplicado. En el mismo periodo, la guía de ingresos de 2026 ha pasado de 717–725 millones (febrero) a 732–738 millones (agosto): una mejora de alrededor del 2%. La guía de beneficio por acción ajustado ha subido más, de 7,17–7,45 a 7,74–7,88 dólares, en parte porque hay menos acciones entre las que repartirlo.

Hay señales operativas genuinas. La tasa de expansión neta (cuánto más gasta cada año un cliente existente) ha pasado del 103% al 105% en lo que va de año. Los módulos nuevos, de gestión de riesgo y de parches, ya suponen el 14% y el 16% de las nuevas reservas. El canal de distribuidores crece un 22%. Pero la propia dirección fue prudente en agosto: la demanda que ha despertado Mythos está todavía en fase de conversaciones y pruebas, no de contratos firmados. Y su directora financiera, Joo Mi Kim, reconoció que no ven «ningún aumento significativo ni aceleración en el ciclo de ventas» de los clientes que renuevan en la segunda mitad del año. La base de la guía para la facturación corriente del segundo semestre es crecer un 7–8%.

En otras palabras, el mercado ha pasado de descontar la obsolescencia a descontar una reaceleración que la empresa todavía no ha prometido.

Capital: lo que hizo Qualys cuando la acción estaba en el suelo

Lo que más me interesa de este caso no es el relato, sino lo que la empresa hizo con su dinero mientras el relato cambiaba. Qualys es una rareza en el software: margen operativo ajustado del 45%, sin deuda, unos 703 millones en caja e inversiones y un flujo de caja libre que en el primer semestre sumó 149,5 millones. No paga dividendo. Su forma de devolver capital es recomprar acciones.

Y las recompró cuando estaban baratas. En el segundo trimestre retiró 797.036 acciones a un precio medio de unos 96 dólares (en abril, a 84,71). Esas acciones cotizan hoy a 216,70. En el primer semestre destinó 130,7 millones a recompras, y el número medio de acciones diluidas ha bajado un 4% en un año. Es la asignación de capital que se suele predicar y poco se practica: comprar con el viento en contra, con caja propia y sin endeudarse.

El reverso de esa misma lógica es incómodo. Al precio actual, cada dólar de recompra retira menos de la mitad de las acciones que retiraba en abril. Y la remuneración en acciones a los empleados (unos 78 millones en los últimos 12 meses, el 11% de los ingresos) sigue diluyendo por el otro lado. A 216 dólares, recomprar ya no es una ganga evidente; quedan 229,8 millones autorizados. Lo que la dirección haga con ellos en los próximos trimestres dirá más de su disciplina que cualquier presentación.

Valoración: lo que pago por Qualys frente a sus rivales

Con los datos de los últimos 12 meses, Qualys cotiza a 9,7 veces su valor empresarial sobre ventas y ofrece una rentabilidad por flujo de caja libre del 4,2%. A 37,5 veces su beneficio GAAP (28 veces el ajustado), no es una acción barata en términos absolutos. Pero el contexto importa:

• Tenable, su rival más directo, cotiza a 4,8 veces ventas, aunque convierte en caja una proporción mucho menor de sus ingresos (24% frente al 45% de Qualys). Además, la remuneración en acciones le supone el 17% de los ingresos y tiene deuda neta.
• Rapid7 cotiza a 1,4 veces ventas y es el ejemplo de lo que el mercado hace con quien no convence: baja un 2% en 2026, un año en el que el resto del sector ha subido con fuerza.
• CrowdStrike, en el otro extremo, cotiza a 48 veces ventas y ofrece una rentabilidad por flujo de caja libre del 0,6%. Si se resta lo que paga en acciones (el 23% de sus ingresos), queda en el 0,1%.

Si a la caja generada se le resta la remuneración en acciones, que es un coste real aunque no salga de la tesorería, Qualys ofrece un 3,1% sobre su capitalización. Es más que Tenable (1,5%) y muchísimo más que CrowdStrike (0,1%). Lo que muestran esas cifras es un sector en el que el capital sigue fluyendo hacia la promesa de crecimiento más que hacia la caja disponible. Cuando el dinero es abundante y la narrativa es potente, el precio de la promesa se dispara. Qualys, con un crecimiento del 10%, ha recibido ahora una parte de ese entusiasmo.

Riesgos y qué vigilar

• Los próximos resultados. Qualys aún no ha confirmado la fecha del tercer trimestre. Las estimaciones del mercado apuntan al martes 3 de noviembre, tras el cierre (no es esta semana, sino la siguiente). Su propia guía para el trimestre es de 185,5 a 187,5 millones de ingresos.
• Tenable presenta el 28 de octubre. Será la primera lectura del sector, y con una acción que ha subido de esta forma, las expectativas son altas.
• Expansión neta y facturación. Si la tasa de expansión neta no sigue subiendo y la facturación corriente crece en la banda del 7–8%, el relato de la reaceleración quedará sin respaldo.
• La IA como competidor. El argumento de abril no ha desaparecido: si los grandes modelos integran la detección y la corrección, el valor puede desplazarse hacia ellos.
• Recompras a precio alto. El mismo programa que creó valor en abril puede destruirlo si se ejecuta con la misma intensidad a más del doble de precio.

Mi lectura

Qualys es un buen negocio que el mercado ha valorado de dos formas opuestas en seis meses, sin que el negocio haya cambiado en la misma medida. Lo que sí ha demostrado es disciplina: margen alto, caja abundante, ninguna deuda y recompras cuando la acción estaba en el suelo. Esa es la parte que no depende del relato. La parte que sí depende es el precio actual: a 216 dólares, la cotización ya no paga por lo que Qualys es, sino por lo que podría llegar a ser si la IA dispara la demanda de remediación. Los resultados del tercer trimestre empezarán a aclarar si esa reaceleración llega a las cifras o se queda en las conversaciones. Esto es análisis, no una recomendación de inversión.

Para profundizar

• Guía de inversión en bolsa — conceptos básicos para tomar mejores decisiones

Este artículo es información financiera general y no constituye recomendación de inversión. Invertir conlleva riesgo de pérdida del capital invertido.