Azioni di Qualys: dal panico per l’IA al massimo storico

Ad aprile, il mercato ha firmato l’atto di morte di Qualys. Sei mesi dopo, il titolo è ai massimi. Le azioni di Qualys hanno chiuso venerdì 23 ottobre a 216,70 dollari, in rialzo del 4,1% nella seduta, nel miglior closing di sempre. Salgono del 63% nel 2026 e del 184% dal minimo del 10 aprile (76,20 dollari). In quella primavera, gli investitori avevano deciso che i modelli di intelligenza artificiale capaci di trovare da soli i bug del software avrebbero reso inutile chi vende proprio questo: individuare vulnerabilità.

L’azienda è la stessa. Anche il business. Ciò che è cambiato è la narrazione. E, come quasi sempre quando il prezzo di un asset si muove molto più dei suoi fondamentali, a me interessa più la seconda della prima: che cosa ha fatto Qualys con la sua liquidità mentre il mercato cambiava idea su di lei.

I dati chiave di Qualys: azioni di Qualys

Dall panico di aprile al record di ottobre

Il ribasso ha avuto tre atti. Il 6 febbraio, Qualys ha pubblicato una guidance per il 2026 deludente: ricavi tra 717 e 725 milioni di dollari, crescita di appena il 7–8%, e un utile per azione rettificato sotto le attese del consensus. Il titolo ha perso il 13% in una seduta. A fine mese, Anthropic ha presentato uno strumento di code review basato sull’IA e il settore della cybersecurity ha subito un’altra ondata di vendite. Ad aprile è arrivato il terzo atto, con Claude Mythos, un modello in grado di scoprire bug software su una scala che, secondo alcuni investitori di venture capital, rendeva le società di vulnerability management le più minacciate del settore. Il 9 aprile Qualys ha perso un altro 13%. Dalla chiusura del 2025 al minimo di aprile, il titolo ha perso il 43%.

Il recupero è arrivato in due fasi. La prima, con i risultati del secondo trimestre (4 agosto): ricavi superiori dell’11%, fatturato corrente in crescita del 16% e guidance annuale alzata per la seconda volta, a 732–738 milioni. Il titolo è salito di quasi il 14% il giorno successivo. La seconda è di questa stessa settimana. Il 21 ottobre sono emerse due vulnerabilità critiche in PHP, il linguaggio usato da circa il 70% dei siti web, che consentono di eseguire codice da remoto sui server colpiti. Un sondaggio di Evercore ISI tra i distributori, inoltre, indicava budget di cybersecurity più solidi in vista della fine dell’anno. Venerdì, Qualys ha offerto servizi gratuiti per individuarle e correggerle, e l’intero settore è salito: CrowdStrike dell’8%, Tenable del 6%, Qualys del 4%.

Cioè: la stessa tecnologia che ad aprile avrebbe tolto il business a Qualys è quella che in ottobre la rende indispensabile. La tesi del management, ribadita nella conference call di agosto, è che l’IA accelera sia la scoperta delle vulnerabilità sia la loro exploitation, e che quindi sposti il valore dalla scoperta dei bug alla loro correzione prima che qualcuno ne approfitti. Nelle parole dell’amministratore delegato, Sumedh Thakar: «Non si può risolvere un problema di minuti con una soluzione di un mese».

Ciò che il prezzo ha scontato e ciò che il business ha consegnato

Mettendo i due movimenti uno accanto all’altro: dal minimo di aprile, il titolo è quasi triplicato. Nello stesso periodo, la guidance dei ricavi 2026 è passata da 717–725 milioni (febbraio) a 732–738 milioni (agosto): un miglioramento di circa il 2%. La guidance dell’utile per azione rettificato è salita di più, da 7,17–7,45 a 7,74–7,88 dollari, in parte perché ci sono meno azioni tra cui dividerlo.

Ci sono segnali operativi genuini. Il tasso di espansione netta (quanto di più spende ogni anno un cliente esistente) è passato dal 103% al 105% da inizio anno. I nuovi moduli, di gestione del rischio e di patch, valgono già il 14% e il 16% delle nuove prenotazioni. Il canale dei distributori cresce del 22%. Ma lo stesso management è stato prudente ad agosto: la domanda generata da Mythos è ancora in fase di colloqui e test, non di contratti firmati. E la direttrice finanziaria, Joo Mi Kim, ha ammesso che non vedono «alcun aumento significativo né accelerazione nel ciclo di vendita» dei clienti che rinnovano nella seconda metà dell’anno. La base della guidance per il fatturato corrente del secondo semestre è una crescita del 7–8%.

In altre parole, il mercato è passato dallo scontare l’obsolescenza allo scontare una riaccelerazione che l’azienda non ha ancora promesso.

Capitale: cosa ha fatto Qualys quando il titolo era a terra

Ciò che mi interessa di più in questo caso non è la narrazione, ma ciò che l’azienda ha fatto con il suo denaro mentre la narrazione cambiava. Qualys è una rarità nel software: margine operativo rettificato del 45%, nessun debito, circa 703 milioni in liquidità e investimenti e un flusso di cassa libero che nel primo semestre ha totalizzato 149,5 milioni. Non paga dividendi. Il suo modo di restituire capitale è il riacquisto di azioni.

E le ha riacquistate quando erano a buon mercato. Nel secondo trimestre ha ritirato 797.036 azioni a un prezzo medio di circa 96 dollari (in aprile, a 84,71). Quelle azioni oggi quotano a 216,70. Nel primo semestre ha destinato 130,7 milioni ai buyback, e il numero medio di azioni diluite è sceso del 4% in un anno. È l’allocazione del capitale che si predica spesso e si pratica poco: comprare controvento, con cassa propria e senza indebitarsi.

Il rovescio della medaglia è meno comodo. Al prezzo attuale, ogni dollaro speso in riacquisti elimina meno della metà delle azioni che eliminava ad aprile. E la remunerazione in azioni ai dipendenti (circa 78 milioni negli ultimi 12 mesi, l’11% dei ricavi) continua a diluire dall’altro lato. A 216 dollari, riacquistare non è più un affare evidente; restano 229,8 milioni autorizzati. Ciò che il management farà con questi importi nei prossimi trimestri dirà più della sua disciplina di qualunque presentazione.

Valutazione: cosa pago per Qualys rispetto ai concorrenti

Con i dati degli ultimi 12 mesi, Qualys quota a 9,7 volte il valore d’impresa sulle vendite e offre un rendimento del 4,2% sul flusso di cassa libero. A 37,5 volte l’utile GAAP (28 volte quello rettificato), non è un titolo economico in termini assoluti. Ma il contesto conta:

• Tenable, il concorrente più diretto, quota a 4,8 volte le vendite, anche se converte in cassa una quota molto più bassa dei suoi ricavi (24% contro il 45% di Qualys). Inoltre, la remunerazione in azioni pesa per il 17% dei ricavi e ha debito netto.
• Rapid7 quota a 1,4 volte le vendite ed è l’esempio di ciò che il mercato fa con chi non convince: -2% nel 2026, in un anno in cui il resto del settore è salito con forza.
• CrowdStrike, all’estremo opposto, quota a 48 volte le vendite e offre un rendimento dello 0,6% sul flusso di cassa libero. Se si sottrae quanto paga in azioni (il 23% dei ricavi), resta lo 0,1%.

Se al cassa generata si sottrae la remunerazione in azioni, che è un costo reale anche se non esce dalla tesoreria, Qualys offre un 3,1% sulla sua capitalizzazione. È più di Tenable (1,5%) e molto più di CrowdStrike (0,1%). Queste cifre mostrano un settore in cui il capitale continua a fluire verso la promessa di crescita più che verso la cassa disponibile. Quando il denaro è abbondante e la narrazione è forte, il prezzo della promessa esplode. Qualys, con una crescita del 10%, ha ricevuto ora una parte di quell’entusiasmo.

Rischi e cosa monitorare

• I prossimi risultati. Qualys non ha ancora confermato la data del terzo trimestre. Le stime del mercato indicano martedì 3 novembre, dopo la chiusura (non questa settimana, ma la prossima). La sua guidance per il trimestre è di 185,5–187,5 milioni di ricavi.
• Tenable presenta il 28 ottobre. Sarà la prima lettura del settore, e con un titolo salito in questo modo, le aspettative sono alte.
• Espansione netta e fatturato. Se il tasso di espansione netta non continua a salire e il fatturato corrente cresce nella fascia del 7–8%, la tesi della riaccelerazione resterà senza riscontro.
• L’IA come concorrente. L’argomento di aprile non è scomparso: se i grandi modelli integrano rilevazione e correzione, il valore può spostarsi verso di loro.
• Riacquisti a prezzo elevato. Lo stesso programma che ha creato valore in aprile può distruggerlo se eseguito con la stessa intensità a più del doppio del prezzo.

La mia lettura

Qualys è un buon business che il mercato ha valutato in due modi opposti in sei mesi, senza che il business sia cambiato nella stessa misura. Ciò che ha dimostrato, però, è disciplina: margini alti, cassa abbondante, nessun debito e riacquisti quando il titolo era a terra. Questa è la parte che non dipende dalla narrazione. La parte che invece ne dipende è il prezzo attuale: a 216 dollari, la quotazione non paga più per ciò che Qualys è, ma per ciò che potrebbe diventare se l’IA spingesse la domanda di remediation. I risultati del terzo trimestre inizieranno a chiarire se questa riaccelerazione arriverà nei numeri o resterà nelle conversazioni. Questa è analisi, non una raccomandazione di investimento.

Per approfondire

• Guida all’investimento in Borsa — concetti di base per prendere decisioni migliori

Questo articolo è informazione finanziaria generale e non costituisce una raccomandazione di investimento. Investire comporta il rischio di perdita del capitale investito.