Le patch privé qui menace les actions liées à la vulnérabilité publique

Patch My PC a lancé une application de sécurité.Pour la priorisation des vulnérabilités basée sur les risques et le suivi des actions correctives.Vous ne pouvez probablement pas investir directement dans Patch My PC – l’entreprise…est privé, Fondée en 2011, avec environ 150 employés.Et aucune déclaration publique n’est faite. Mais ce que cela montre, c’est une pression qui a déjà écrasé les actions des entreprises…peutAcheter.

Rapid7 (RPD) est l’une des entreprises les plus connues dans le domaine de la gestion des vulnérabilités logicielles cotées en bourse. Son cours se situe à 10,31 $, soit environ 51 % en dessous de son niveau le plus élevé sur 52 semaines. La croissance des revenus est quasi nulle, à 0,1 % par an. Les revenus du deuxième trimestre 2026 ont chuté de 1,5 % pour atteindre 211 millions de dollars, et les revenus annuels réguliers ont diminué de 2 % pour atteindre 824 millions de dollars. Pour une entreprise qui repose sur l’idée que les vulnérabilités logicielles se multiplient constamment, et que les entreprises achètent des outils pour les détecter, la situation financière de l’entreprise est difficile à comprendre en fonction de son modèle commercial.

L’histoire qui se cache derrière ces chiffres n’est pas que la demande en matière de cybersécurité diminue. C’est plutôt que les tâches spécifiques que les gestionnaires de vulnérabilités doivent accomplir – c’est-à-dire scanner les réseaux pour trouver les faiblesses connues – deviennent devenues une commodité. Des acteurs privés comme Patch My PC font partie de ce changement, qui rend les entreprises traditionnelles de plus en plus interchangeables.

Ce que la gestion des vulnérabilités vend réellement

Pour comprendre la pression exercée par ces technologies, il est nécessaire de savoir ce que les entreprises comme Rapid7, Tenable (TENB) et Qualys (QLYS) vendent. Elles proposent des outils de scanning qui permettent d’analyser votre réseau d’entreprise en comparaison avec une base de données de vulnérabilités connues – officiellement appelées CVE, ou Common Vulnerabilities and Exposures. En 2025…Le programme CVE a publié 48 244 nouvelles entrées, soit une augmentation d’environ 20 % par rapport à l’année précédente.Plus il y a de vulnérabilités, plus les entreprises ont besoin d’outils pour les détecter avant que les attaquants puissent les exploiter.

C’était la logique. Le problème est que l’opération de scan n’est plus la partie difficile. La valeur pour les équipes de sécurité a changé : il s’agit maintenant de déterminer quelles vulnérabilités sont réellement importantes, de vérifier si elles peuvent être exploitées, et de suivre si les correctifs ont été appliqués. Le nouveau produit de Patch My PC vise précisément ce travail de suivi : une priorisation basée sur les risques et le suivi des actions de correction, en complément du logiciel existant de gestion des correctifs.

Les employés sont conscients de ce changement. Ils s’y habituent.Lancé « Hexa AI » en partenariat avec AnthropicIls essaient de passer d’une phase de scan à une phase de correction des problèmes. Qualys a promu l’outil “Agent Val” pour valider les exploit. Mais ils luttent en position défensive – leurs produits principaux sont justement les outils de scan qui sont aujourd’hui menacés.

La pression à quatre directions

Les responsables de la gestion des vulnérabilités sont soumis à une pression de quatre directions en même temps.

D’un point de vue supérieur, les principales plateformes de cybersécurité intègrent le scan dans leurs offres existantes. CrowdStrike, Microsoft et SentinelOne proposent tous trois la gestion des vulnérabilités comme partie intégrante de leurs solutions de sécurité des endpoints. Les commerciales des grands revendeurs…On rapporte que les consultants ont conseillé aux clients de mettre fin à l’utilisation des licences Tenable indépendantes.Et consolider avec des alternatives combinées.

En bas, la technologie de scan utilisée par les entreprises est devenue une commodité accessible grâce aux outils open-source et à l’IA. Un projet appelé “Untenable” – un outil généré par l’IA et développé par un étudiant en première année de recherche – a révélé des faiblesses que le scanner commercial de Tenable n’avait pas détectées. Le message pour les équipes de sécurité est clair : le processus de scan ne nécessite plus d’achat d’un contrat d’entreprise valant 10 000 dollars.

Du côté des startups basées sur l’IA et des modèles d’IA de pointe, le modèle de business est complètement menacé.En février 2026, la solution de sécurité de code Claude Code Security a été mise en avant. C’est un outil qui permet d’analyser automatiquement les bases de code et de proposer des correctifs. Les actions de Qualys ont chuté de 8 %, celles de Tenable de 6 %, et celles de Rapid7 de 4 % en une seule après-midi.Le marché évalue une idée simple : si l’IA peut analyser et corriger les problèmes sans avoir besoin d’un fournisseur de services de sécurité dédié, alors ce dernier devient optionnel.

Et maintenant, du point de vue de la gestion des mises à jour – Patch My PC est une entreprise spécialisée dans ce domaine. La mise à jour des applications tierces a toujours été intégrée au processus de gestion des vulnérabilités en matière de sécurité informatique. Si l’entreprise responsable de la gestion des mises à jour connaît déjà quels logiciels vous utilisez, quelles versions sont installées et quelles mises à jour sont déployées, il est naturel que cette entreprise puisse prioriser les vulnérabilités qui nécessitent une attention particulière, ainsi que suivre l’état des actions de correction. C’est exactement ce que fait Patch My PC. Or, c’est une menace, car ces entreprises ont déjà un accès intégré au processus de sécurité du client.

Rapid7 : ce que montrent les données opérationnelles

Rapid7 représente le cas le plus extrême parmi les entreprises cotées qui se consacrent à la gestion des vulnérabilités informatiques. C’est aussi un exemple très instructif. Voici le tableau financier pour le dernier trimestre :

La croissance des revenus a chuté. La croissance annuelle est de 0,1 %, et les revenus du second trimestre 2026 ont en fait diminué.Passer de 214 millions à 211 millions par an, l’an dernier.Les ventes ont chuté de 2 % à 824 millions de dollars, contre 832 millions de dollars au premier trimestre 2026. Ce ne sont pas des problèmes majeurs dans une trajectoire généralement positive – c’est plutôt la preuve que la demande ralentit.

Les marges sont faibles. La marge opérationnelle est de 1,2 %, une amélioration par rapport aux niveaux négatifs des dernières trimestres. Comparé à Qualys, qui a une marge opérationnelle de 33,7 % et une marge de flux de trésorerie libre de 42,4 % pour des revenus similaires. Rapid7 génère encore 128,5 millions de dollars de flux de trésorerie libre, mais la croissance des flux de trésorerie libre diminue de 22 % par an. L’entreprise dépense donc l’avantage concurrentiel qu’elle avait autrefois, sans pouvoir le remplacer par un nouveau avantage concurrentiel.

Le bilan financier montre les contraintes de la société. Rapid7 possède un endettement total de 1,5 milliard de dollars, contre 196,7 millions de dollars en capitaux propres – soit un ratio dette/capital propres de 4,5. La société dispose de 425,6 millions de dollars en liquidités, ce qui lui permet de tenir le coup, mais l’endettement limite sa flexibilité. Une société avec des revenus stables et une forte dette ne peut pas facilement investir pour sortir de la situation de standardisation.

Évaluation : bon marché, mais qu’est-ce que cela reflète vraiment ?

À 10,31 dollars par action, Rapid7 se vend à 0,8 fois les ventes récentes et à 1,0 fois l’EV/ventes. C’est un prix très bas. Ce prix est bas pour une raison que les données opérationnelles expliquent.

La question n’est pas de savoir si le multiple est faible – il l’est. La question est plutôt de savoir si ce faible multiple reflète une peur temporaire ou une érosion structurelle. En ce qui concerne la peur : les actions ont chuté fortement autour des titres annonçant la disruption liée à l’IA.Morgan Stanley a été rétrogradé à « Underweight » en juillet.Et l’évolution plus large du marché de la cybersécurité au début de l’année 2026… Ce type de ventes impulsées par la panique peut dépasser la réalité économique du secteur.

Du point de vue structurel : une baisse des revenus, une diminution de l’ARR, ainsi qu’une baisse d’environ 51 % entre le pic et la baisse du cours de l’action, ne sont pas des signes indiquant que l’entreprise est temporairement mal comprise. Ce sont plutôt des signes que l’entreprise doit prendre en compte, car ses clients décident de renouveler leurs abonnements. Selon certaines sources, les revendeurs conseillent aux clients de ne plus utiliser des licences Tenable indépendantes, et de se tourner vers des solutions combinées. CrowdStrike, quant à lui, intègre la gestion des vulnérabilités dans ses contrats plus larges concernant les endpoints. De plus, les solutions basées sur l’IA montrent que le scan n’est plus un avantage concurrentiel important pour l’entreprise.

Si la baisse des revenus continue, le multiple de prix ne compte plus. Une entreprise peut être vendue à un prix de 0,5x ses revenus, mais elle reste cher si les revenus diminuent de 10 % par an. Le flux de trésorerie libre constitue une limite, mais 128 millions de dollars de flux de trésorerie libre avec une baisse des revenus représente une limite instable.

Le point principal pour l’investisseur

Le logiciel Patch My PC lui-même n’est pas investiable aujourd’hui. Mais la direction qu’il prend – en fusionnant la gestion des correctifs avec l’priorisation des vulnérabilités basée sur les risques – est précisément ce qui menace les entreprises traditionnelles de gestion des vulnérabilités. Les entreprises actives dans ce domaine, cotées en bourse, montrent déjà l’impact de cette tendance.

Rapid7 est le cas le plus clair : les actionsIl est en baisse de environ 51 % par rapport à son plus haut niveau des 52 semaines.Les revenus diminuent, le chiffre d’affaires est en baisse, la situation financière est fragile, et la menace concurrentielle est de nature structurelle plutôt que cyclique. La valeur actuelle de l’entreprise est basse, mais son évolution opérationnelle ne suggère pas de reprise. Ce n’est pas une entreprise à acheter simplement parce qu’elle est bon marché – c’est une entreprise qui est bon marché parce que son activité se réduit.

Cela ne signifie pas que la gestion des vulnérabilités est terminée. Cela signifie plutôt que le niveau de scannage devient une activité commerciale courante, et que la valeur se concentre sur les entreprises qui possèdent une plateforme de sécurité complète, un processus de travail basé sur l’IA, ou des outils de correction des vulnérabilités – comme CrowdStrike, Microsoft, Qualys, ou encore des acteurs privés tels que Patch My PC. Pour les investisseurs qui cherchent une participation en bourse, il est important de ne pas se concentrer sur les scanners de vulnérabilités purement spécialisés, mais plutôt sur les entreprises qui construisent l’infrastructure nécessaire pour rendre le scannage inutile.