Actualités du web : la faille WordPress touche 350 000 sites, la recherche Google IA sans clic explose

Trois jours après la publication du correctif, une faille critique de WordPress continue de faire des dégâts à grande échelle, pendant que Google confirme l'ampleur du basculement vers une recherche « zéro clic » et que les navigateurs pilotés par IA passent du prototype à l'adoption de masse. Voici les actualités du web du 27 septembre 2026, et ce qu'elles changent concrètement pour un site basé en Tunisie.

La faille critique WordPress (CVE-2026-87902) touche désormais plus de 350 000 sites

Nous avions évoqué le 24 septembre la publication en urgence de WordPress 7.1.2, qui corrige une faille de traversée de répertoire (CVE-2026-87902, score CVSS 9.2) permettant à un attaquant non authentifié d'exécuter du code arbitraire via le paramètre pagename. Trois jours plus tard, la situation s'est aggravée : selon les données de Shadowserver relayées par Tech Times, plus de 350 000 sites restent aujourd'hui non corrigés, alors que les premières tentatives d'exploitation avaient commencé moins de quatre heures après la sortie du correctif (source : Tech Times).

L'attaque se déroule en trois temps documentés par Patchstack : reconnaissance des sites vulnérables, confirmation de l'exécution de code via le script pearcmd.php, puis dépôt de webshells persistants portant des noms comme wp-pear-rce-flag.php. Le volume d'attaques a été multiplié par dix dès le 23 septembre, après la mise en circulation d'un modèle de détection automatisé (source : Patchstack). La faille concerne les versions 4.7.0 à 7.1.1, soit près d'une décennie de mises à jour ; elle est corrigée dans les versions 7.1.2, 7.0.6, 6.9.9 et 6.8.10.

Recherche Google : le mode IA ne génère plus aucun clic dans 93% des cas

Le rapport webmaster de septembre 2026 de Google confirme l'accélération de l'intégration de l'IA dans les résultats de recherche, avec des cartes de type carrousel pour l'actualité et des réponses désormais propulsées par Gemini 3.7 Flash (source : Search Engine Roundtable). Les données Semrush citées ce mois-ci donnent une mesure précise de l'impact sur le trafic : 93% des recherches effectuées en mode IA se terminent sans le moindre clic vers un site externe, contre 83% pour les AI Overviews classiques et 60% pour une recherche Google traditionnelle.

Autre changement technique à noter pour les équipes SEO : Google a modifié l'extraction des données structurées JSON-LD, qui applique désormais un « unescaping » HTML en une seule passe, et a déployé de nouveaux paramètres de suivi sur « google.com/goto » pour protéger ses résultats face aux outils tiers comme SerpAPI. Pour un site qui vit du trafic organique, ces chiffres confirment une tendance déjà amorcée : être bien classé ne suffit plus si le contenu n'est pas structuré pour être cité directement dans une réponse IA plutôt que cliqué.

Les navigateurs IA agentiques passent à l'échelle : Atlas, Comet et Claude for Chrome

Le paysage des navigateurs agentiques évoqué dans notre actualité du 24 septembre s'est structuré en trois catégories : les navigateurs autonomes comme ChatGPT Atlas ou Perplexity Comet (gratuit depuis octobre 2025), les extensions intégrées comme Claude for Chrome ou le mode « auto browse » de Gemini, et les agents cloud comme ChatGPT Agent (source : SearchViu). L'adoption s'accélère nettement : Claude for Chrome est passé d'environ 40 000 à plus de 10 millions d'installations entre décembre 2025 et juin 2026.

Le point le plus concret pour un propriétaire de site : ces agents naviguent avec les mêmes empreintes techniques qu'un visiteur humain (IP résidentielle, user-agent Chrome identique, session authentifiée), ce qui rend le trafic agentique très difficile à distinguer dans les outils d'analyse classiques. Avec une part de marché de Chrome autour de 65%, toute fonction IA que Google intègre nativement au navigateur est appelée à générer le plus gros volume de ce trafic agentique — d'où l'importance, déjà soulignée dans notre article sur le standard WebMCP, de proposer des parcours clairs et bien structurés plutôt que pensés uniquement pour l'œil humain.

Ce qu'il faut retenir aujourd'hui

Trois actions concrètes à mettre en place

1. Mettez à jour WordPress sans délai vers la version 7.1.2 (ou 7.0.6 / 6.9.9 / 6.8.10 selon votre branche), vérifiez vos journaux pour des séquences suspectes dans le paramètre pagename et désactivez register_argc_argv dans la configuration PHP si vous n'en avez pas l'usage.
2. Auditez le contenu de vos pages clés pour vérifier qu'il répond directement à la question posée dans les premières lignes, avec des données structurées propres : c'est ce type de contenu qui a le plus de chances d'être cité dans une réponse générée par l'IA, même sans clic.
3. Revoyez vos parcours de conversion (devis, commande, prise de rendez-vous) pour qu'ils restent utilisables aussi bien par un visiteur humain que par un agent de navigation IA qui remplit un formulaire pour son compte.

Retrouvez notre analyse du 24 septembre sur la faille WordPress critique et les navigateurs IA, ainsi que notre article du lendemain sur le nouveau cycle de publication de Chrome et Firefox et le standard WebMCP. Si votre site tourne sous WordPress, notre page dédiée à la gestion et sécurisation de sites WordPress en Tunisie détaille notre approche de maintenance.