Résumé

  • F5 a comptabilisé 26,5 M$ de dépenses liées à son Cyber Incident sur les neuf mois clos en juin 2026. Les 5,3 M$ remboursés par l’assurance ont été inscrits séparément dans les autres produits : leur différence n’est pas une estimation de la perte économique totale.
  • La dépense trimestrielle est passée de 17,5 M$ à 6 M$, puis à 3 M$. Dans le même temps, le chiffre d’affaires sur neuf mois a progressé de 9,7 %, les flux d’exploitation ont atteint 841,4 M$ et la prévision annuelle a été relevée.
  • Le risque encore non chiffré doit être observé dans les renouvellements, la maintenance, les commandes des distributeurs, les réclamations, l’assurance et les procédures judiciaires, sans transformer ces possibilités en pertes déjà réalisées.

Un chiffre exact pour une question incomplète

Au 30 juin 2026, F5 pouvait attribuer 26,5 M$ à la réponse à son incident de sécurité. Ce montant dit ce que l’entreprise a reconnu dans ses comptes. Il ne prétend pas donner le prix de la confiance perdue, conservée ou reconstruite.

La distinction est essentielle. Les services d’enquête, le renforcement des systèmes et les travaux de remédiation produisent des factures identifiables. Un client qui ralentit son processus d’achat ou qui revoit son architecture ne transmet pas une facture intitulée « incident » au fournisseur.

F5 précise d’ailleurs que des frais juridiques, professionnels et autres pourront encore être encourus et seront comptabilisés au fur et à mesure. La somme de 26,5 M$ est donc arrêtée à une date ; elle n’est pas un plafond.

Le remboursement d’assurance a une autre place. F5 a reçu 5,3 M$ au troisième trimestre et l’a enregistré dans les autres produits nets. Les coûts de l’incident apparaissent, eux, dans le coût des ventes et les charges opérationnelles.

La soustraction donne 21,2 M$, mais ce résultat n’est pas présenté comme une « perte nette » par F5. Une police peut couvrir certains frais et pas d’autres. Les conséquences commerciales éventuelles ne se présentent pas nécessairement comme des dépenses remboursables.

Dans la réconciliation non-GAAP, F5 retire séparément 26,503 M$ de coûts et 5,309 M$ de remboursements. La direction estime ces éléments non récurrents et peu représentatifs du cœur de l’activité. La lecture GAAP reste indispensable, car les flux et les écritures ont bien existé.

L’intrusion a touché le savoir de développement

F5 a appris le 9 août 2025 qu’un acteur étatique très sophistiqué avait accédé sans autorisation à certains de ses systèmes. La divulgation publique est intervenue le 15 octobre, après une autorisation temporaire de report accordée par le ministère américain de la Justice.

L’acteur avait conservé un accès persistant et de longue durée à l’environnement de développement BIG-IP et à une plateforme de gestion des connaissances d’ingénierie. Des fichiers exfiltrés contenaient des portions du code source BIG-IP et des informations sur des vulnérabilités non encore publiées sur lesquelles les équipes travaillaient.

Cette description établit une exposition du savoir technique. Elle n’établit pas une altération des produits. F5 a déclaré ne disposer d’aucune preuve de modification du code source, des chaînes de compilation ou des processus de publication.

La société indiquait aussi ne connaître aucune vulnérabilité critique ou d’exécution de code à distance restée secrète, ni exploitation active d’une vulnérabilité F5 non divulguée. Ces affirmations sont datées ; elles ne doivent ni être ignorées ni étendues au-delà de ce que F5 a vérifié.

F5 n’avait pas de preuve d’un accès aux systèmes CRM, financiers, de gestion des dossiers d’assistance ou iHealth. Elle ne constatait pas non plus d’accès ou de modification concernant NGINX, Distributed Cloud Services ou Silverline.

Une partie limitée du périmètre concernait directement les clients. Certains fichiers de la plateforme de connaissances contenaient des informations de configuration ou d’implémentation pour un faible pourcentage d’entre eux. F5 a annoncé un examen et une communication directe, sans publier le nombre de clients ni leur poids économique.

L’entreprise a diffusé des versions pour BIG-IP, F5OS, BIG-IP Next for Kubernetes, BIG-IQ et les clients APM. Elle a recommandé des mises à jour rapides, renforcé les accès, automatisé davantage l’inventaire et les correctifs, et durci son environnement de développement.

Pour F5, ce travail constitue une dépense. Pour les clients, il devient une fenêtre de changement, un test de compatibilité et un dossier à présenter aux équipes de risque. Le coût économique se partage donc entre le fournisseur et les organisations qui exploitent ses produits.

La courbe d’urgence se tasse

Le rythme trimestriel apporte une information encourageante. Le premier trimestre fiscal a porté 17,5 M$ de coûts. Le deuxième en a ajouté 6 M$ et le troisième 3 M$.

Le choc initial représente ainsi environ les deux tiers du cumul. La facture du trimestre de juin est inférieure à un cinquième de celle du trimestre de décembre. Cette décélération est cohérente avec une phase de confinement intense suivie d’un travail plus normalisé.

F5 a aussi déclaré ne pas avoir observé de nouvelle activité non autorisée depuis le début du confinement. En l’état des informations publiées, il serait excessif de décrire une urgence technique qui continuerait à s’étendre.

Mais la diminution des honoraires et de la remédiation ne donne pas le taux de renouvellement. Le compte de résultat reconnaît rapidement les prestataires mobilisés ; un contrat de maintenance peut attendre plusieurs mois avant d’arriver à échéance.

Le rapport annuel 2025 l’avait anticipé. F5 prévoyait des perturbations commerciales surtout au début de l’exercice 2026, puis une normalisation au second semestre. Les risques mentionnés incluaient le report d’un achat, l’annulation ou le non-renouvellement, sans affirmer qu’ils avaient déjà eu lieu.

Le suivi doit donc accepter deux horizons. L’urgence opérationnelle peut reculer alors que les comités d’achat et de sécurité poursuivent leur propre examen. Cette différence de calendrier est le cœur du risque de marché.

Les résultats réfutent l’idée d’une rupture générale

La prudence ne peut servir à effacer les bonnes nouvelles. Sur neuf mois, le chiffre d’affaires de F5 a augmenté de 9,7 % à 2,499 Md$. Le résultat opérationnel GAAP a progressé de 8,2 % à 606,5 M$ et le bénéfice net de 6,8 % à 536 M$.

Les flux de trésorerie d’exploitation ont atteint 841,4 M$, soit 13,5 % de plus qu’un an auparavant. Une entreprise qui subit déjà un effondrement généralisé de la demande ne présente normalement pas cette combinaison.

Au troisième trimestre, les ventes ont progressé de 10,9 % à 865,1 M$. Les produits ont crû de 19 %, avec 32,4 % pour les systèmes et 7,4 % pour les logiciels. Les services ont augmenté de 2,7 %.

La direction attribue la hausse des systèmes à la demande des clients, celle des logiciels aux abonnements et celle des services aux contrats de maintenance. Elle a relevé sa prévision de croissance annuelle à environ 9 %-10 %, contre 7 %-8 % auparavant.

Ces données interdisent une lecture catastrophiste. Jusqu’en juin, F5 a démontré une activité en croissance et une génération de trésorerie solide après la divulgation. Aucune cassure globale n’apparaît dans les chiffres publiés.

Elles n’offrent toutefois pas un tableau des cohortes. Les systèmes progressent beaucoup plus vite que les logiciels et les services. Les ventes totales peuvent additionner nouveaux clients, prix, renouvellements et durée des contrats sans détailler chacun de ces moteurs.

Les produits constatés d’avance renforcent le scénario de résilience. La part courante est passée de 1,213 Md$ en septembre à 1,290 Md$ en juin ; la part à long terme, de 786 M$ à 903,1 M$. La variation de trésorerie sur neuf mois atteint 192,3 M$.

Ce mouvement ne révèle ni le nombre de clients concernés par l’incident, ni leur comportement. Il confirme que le carnet contractuel n’a pas disparu. La formule la plus exacte reste donc : solidité agrégée, composition interne non publiée.

Deux distributeurs brouillent le calendrier

F5 commercialise principalement ses produits par des canaux indirects. Deux distributeurs ont représenté 16,4 % et 18,4 % du chiffre d’affaires trimestriel. Ensemble, ils pèsent 35,6 %.

Sur neuf mois, leurs parts sont de 17,2 % et 23,1 %, soit 40,3 % au total. Aucun client final ne dépasse individuellement 10 % du chiffre d’affaires.

Cette structure combine diversification et concentration. F5 ne dépend pas d’un seul grand utilisateur final, mais une part importante des ventes transite par deux intermédiaires. Le rythme des commandes de ces derniers peut avancer ou retarder la visibilité du comportement final.

Une vente au distributeur n’est pas automatiquement une consommation par l’utilisateur. Le stock, l’enregistrement des affaires, les remises et les calendriers de livraison déplacent le signal. La confiance se lit donc dans une combinaison : ventes, créances, mix produit, maintenance et commentaires sur le canal.

Il serait aussi erroné d’attribuer tout mouvement de distributeur à l’incident. Les cycles matériels, la demande liée à l’IA et les conditions macroéconomiques agissent en parallèle. Le bon test est la persistance d’un écart entre commandes du canal et renouvellements ou services.

Le droit n’a pas encore de prix comptable

Une action collective en valeurs mobilières a été déposée en décembre 2025. Elle reproche à F5 et à certains dirigeants des déclarations trompeuses sur les capacités de cybersécurité. La plainte a été modifiée en mai 2026 et les défendeurs ont demandé son rejet en juillet.

Deux actions dérivées connexes, déposées en février, ont été regroupées puis suspendues dans l’attente des requêtes de rejet. Il s’agit d’allégations non jugées. F5 affirme qu’elle se défendra vigoureusement.

Au 30 juin, aucun passif éventuel n’était comptabilisé pour ces procédures ou les enquêtes décrites. F5 expliquait ne pouvoir ni conclure qu’une issue défavorable était probable, ni estimer un montant ou une fourchette.

L’absence de provision ne vaut pas absence de risque. Elle signifie que le seuil comptable n’était pas franchi avec les informations disponibles. Une décision, une négociation de règlement ou une fourchette estimable serait une nouvelle preuve ; la plainte seule n’est pas une perte.

F5 a également reçu un faible nombre de demandes d’autorités publiques et évoque la possibilité de réclamations de clients ou de tiers. Aucun montant ni résultat n’est publié. Ces éléments appartiennent au périmètre non chiffré et ne doivent pas être ajoutés arbitrairement aux 26,5 M$.

501,1 M$ pour racheter des actions

La comparaison avec les rachats d’actions donne l’échelle des décisions. F5 a consacré 501,1 M$ de trésorerie aux rachats, taxes comprises, sur les neuf mois. C’est environ 18,9 fois la dépense cyber reconnue et 59,6 % des flux d’exploitation.

Le tableau du programme indique 500 M$ pour 1,91 million de titres, à un prix moyen de 261,83 $. La différence avec le flux de trésorerie provient notamment des taxes. Il restait 422,4 M$ d’autorisation en juin.

Ces montants ne prouvent pas que la réponse cyber a été sous-financée. F5 a pu financer simultanément les travaux et les rachats. Ils ne prouvent pas non plus qu’un dollar de rachat aurait empêché un dollar de perte client.

Ils montrent que la marge de choix du conseil est bien plus large que la ligne d’incident. Si le support, l’assurance ou le durcissement exigent davantage de capital, la question sera une question de priorité, pas simplement de capacité.

La confiance sera comptée ailleurs

Le dossier actuel ne permet ni d’annoncer une crise commerciale, ni de déclarer l’incident définitivement soldé. F5 a contenu l’accès selon ses constatations, diffusé des correctifs, réduit sa dépense trimestrielle et amélioré ses résultats.

La facture de 26,5 M$ reste néanmoins une mesure des moyens engagés, pas une mesure de la décision des clients. Les renouvellements, la maintenance et l’architecture d’application suivent des calendriers plus lents que les consultants mobilisés en urgence.

Le scénario favorable est lisible : la croissance se maintient, les services accélèrent, les produits constatés d’avance continuent de progresser, les coûts se tassent et aucune nouvelle preuve défavorable n’apparaît.

Le scénario faible n’a pas besoin d’un effondrement. Un ralentissement durable de la maintenance, une digestion du canal, une hausse des primes ou une provision juridique suffiraient à élargir le coût au-delà de la réponse initiale.

F5 a donc compté ce que ses comptes pouvaient saisir au 30 juin. La partie restante n’est pas un nombre caché à deviner. C’est un ensemble d’indicateurs à attendre, avec la même discipline qui impose aujourd’hui de reconnaître la force des ventes.

Sources