Publié le 26 octobre 2026 par Cécile Biaudet, consultante SEO et GEO à Reims

Cette semaine, l’actualité du référencement a pris un tour inattendu : deux alertes de sécurité (une faille dans PHP et une compromission de l’extension WordPress UpdraftPlus) rappellent qu’un site piraté ou hors ligne perd vite sa visibilité. Côté IA, Google détaille dans sa documentation comment contrôler la présence de vos contenus dans les AI Overviews et l’AI Mode, tandis qu’une étude Semrush montre que les AI Overviews s’affichent désormais sur 88 % des requêtes commerciales suivies.

Voici l’essentiel de la semaine du 19 au 25 octobre 2026, avec pour chaque point ce que cela change concrètement pour votre site. Si vous avez manqué l’épisode précédent, retrouvez notre veille SEO et IA du 12 au 18 octobre 2026.

Au sommaire

• 1. Faille PHP et extension UpdraftPlus : la sécurité redevient un sujet SEO
• 2. Google documente le contrôle de vos contenus dans ses fonctions d’IA
• 3. AI Overviews : 88 % des requêtes commerciales désormais concernées
• 4. Trafic venu des IA : peu de visites, mais des visiteurs qui convertissent
• 5. Ce qui fait citer une page par les IA : deux études à connaître
• 6. Search Console : les traces de l’AI Mode et le rappel de John Mueller
• 7. En bref : volatilité, URL, JPEG XL et vision agentique
• Questions fréquentes

1. Faille PHP et extension UpdraftPlus : la sécurité redevient un sujet SEO

Deux failles critiques baptisées PHP2Shell touchent toutes les versions de PHP de la 5.4 à la 8.5.11. Elles peuvent permettre à un attaquant d’exécuter du code à distance sur le serveur. Les versions corrigées sont les 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Plusieurs hébergeurs et propriétaires de sites ont choisi de couper temporairement leurs sites le temps d’appliquer les correctifs.

John Mueller (Google) a rappelé la bonne pratique dans ce cas : renvoyer un code HTTP 503 (service temporairement indisponible), idéalement généré en dehors de PHP (via un CDN ou une redirection DNS), plutôt que de laisser le site renvoyer des erreurs 404, 500 ou des délais d’attente. Le fichier robots.txt doit, lui, rester accessible normalement. Attention : au-delà d’un ou deux jours de 503, Google peut commencer à retirer des URL de son index.

Dans le même temps, l’extension de sauvegarde UpdraftPlus (plus de 3 millions d’installations actives) a été exploitée pour installer des portes dérobées sur des sites WordPress connectés au service UpdraftCentral Cloud. Les versions 1.26.13 (gratuite) et 2.26.13 (premium), publiées le 19 octobre, coupent ces connexions, mais ne suppriment pas les extensions malveillantes ou les comptes administrateurs déjà créés.

• PHP concerné : versions 5.4 à 8.5.11
• UpdraftPlus : mettre à jour vers 1.26.13 / 2.26.13 ou plus récent
• 99 noms d’extensions malveillantes identifiés par Patchstack, dont certains imitent des outils de maintenance
• 503 recommandé pendant une coupure, à ne pas prolonger au-delà d’un ou deux jours

Ce que ça change pour votre site
Si votre site tourne sous WordPress, vérifiez dès cette semaine la version de PHP chez votre hébergeur et celle d’UpdraftPlus si vous l’utilisez. Contrôlez la liste de vos extensions et de vos comptes administrateurs, puis changez les mots de passe. Un site piraté peut être signalé comme dangereux par Google et perdre durablement ses positions : quelques minutes de vérification valent largement le coup. Et si votre visibilité a chuté après un incident, un audit de votre site permet d’identifier les pages touchées.

Sources : Search Engine Roundtable · Search Engine Journal (503) · Search Engine Journal (UpdraftPlus)

2. Google documente le contrôle de vos contenus dans ses fonctions d’IA

Le 21 octobre, Google a enrichi sa page d’aide « Contrôler ce que vous partagez avec la recherche Google ». Elle regroupe désormais toutes les options existantes : balise meta robots, attribut data-nosnippet, en-tête X-Robots-Tag et une section dédiée au « Search generative AI control ». Ce réglage, disponible dans la Search Console et appliqué à l’ensemble du site, permet de gérer l’inclusion de vos contenus dans les fonctions d’IA générative de la recherche, dont les AI Overviews et l’AI Mode.

Le même jour, une vidéo de Gary Illyes est venue préciser une limite souvent mal comprise : le fichier robots.txt encadre l’exploration, pas l’usage qui est fait des contenus une fois explorés. Pour bloquer un robot d’IA précis, il faut le cibler par son nom (user-agent). Quant à Google-Extended, il concerne l’entraînement et l’ancrage des modèles Gemini, sans effet sur le classement dans la recherche.

Ce que ça change pour votre site
Ce nouveau réglage n’est pas un bouton à actionner par réflexe. Pour la plupart des TPE et PME, apparaître dans les AI Overviews et l’AI Mode est une source de visibilité, notamment pour la notoriété de marque. Avant toute désactivation, mesurez ce que ces fonctions vous apportent (impressions, citations, conversions) et demandez-vous si vos contenus ont une valeur exclusive à protéger.

Sources : Search Engine Roundtable · Google Search Central · Search Engine Journal

3. AI Overviews : 88 % des requêtes commerciales désormais concernées

Semrush a suivi les mêmes 400 mots-clés commerciaux (banque, e-commerce, logiciels) aux États-Unis entre septembre 2025 et août 2026. Résultat : les AI Overviews apparaissent sur 88 % d’entre eux, contre 45,75 % un an plus tôt. Pondérée par le volume de recherche, la couverture atteint 97 %.

Ce sont précisément les requêtes qui précèdent un achat qui sont touchées : comparatifs, avis, alternatives à une marque. L’étude ne mesure pas l’effet sur les clics, et l’échantillon reste limité, mais la tendance est nette.

Google teste par ailleurs des résumés générés par IA dans les cartes de citation des AI Overviews : le texte affiché sous le lien n’est plus forcément un extrait de votre page, mais une reformulation selon la requête.

• Requêtes « meilleur X pour Y » : 96,12 % de couverture
• Requêtes d’avis : d’environ 30 % à près de 90 % en douze mois
• Requêtes « alternative à une marque » : plus de 82 % (+34 points)
• E-commerce : de près de 33 % à 85 %

Ce que ça change pour votre site
Si vous vendez des produits ou des services, vos pages comparatifs, avis et « meilleur choix pour… » sont désormais lues en priorité par l’IA de Google. Elles doivent répondre clairement et rapidement à la question posée, avec des critères explicites, des tableaux et des preuves (avis clients, chiffres, garanties). Votre objectif n’est plus seulement d’être en première position, mais d’être la source citée dans la réponse.

Sources : Search Engine Land · Semrush · Search Engine Roundtable

4. Trafic venu des IA : peu de visites, mais des visiteurs qui convertissent

Marie Haynes a analysé douze mois de données GA4 sur 100 sites (plus de 145 millions de sessions). ChatGPT y envoie l’équivalent de 0,62 % des sessions issues de Google organique (0,73 % en ajoutant les autres IA). Mais sur les 55 sites qui suivent les conversions, 13,8 % des visiteurs venus de ChatGPT convertissent, contre 3,02 % pour Google organique. En volume, Google génère tout de même 27 fois plus de conversions que l’ensemble des IA réunies.

Côté OpenAI, un pilote mené avec Cloudflare a permis à ChatGPT Search de découvrir et d’indexer des centaines de millions de pages supplémentaires. Pour apparaître dans ChatGPT Search, le robot OAI-SearchBot doit pouvoir accéder à votre site (GPTBot, lui, sert à l’entraînement).

Enfin, une enquête relayée par le Blog du Modérateur montre que seuls 9 % des professionnels du search se disent très confiants dans leur mesure de la visibilité IA, alors que 43 % font du GEO une priorité pour 2027.

Ce que ça change pour votre site
Google reste, de loin, votre premier canal d’acquisition organique : ne délaissez pas le SEO classique au profit du seul GEO. En revanche, le visiteur qui arrive depuis une IA est souvent très qualifié. Vérifiez que votre robots.txt n’empêche pas OAI-SearchBot d’accéder à vos pages et isolez le trafic IA dans GA4 pour suivre ses conversions.

Sources : Search Engine Land · Search Engine Journal · Blog du Modérateur

5. Ce qui fait citer une page par les IA : deux études à connaître

SISTRIX a comparé 48 527 pages citées par les IA à des pages non citées des mêmes domaines (96 418 URL au total, marché germanophone). Les éléments les plus associés aux citations sont structurels : sommaire, balisage Article, au moins cinq intertitres H2, FAQ, tableaux et date de mise à jour visible. Le fichier llms.txt, lui, n’a aucun effet mesurable. Il s’agit de corrélations, pas de causes prouvées.

Une étude de l’université Fudan, relayée par Search Engine Journal, montre l’autre face du sujet : un concept inventé, publié sur des sites déjà souvent cités, a été repris par ChatGPT, Perplexity, Grok et l’IA de Google en moins d’une semaine. L’emplacement de la publication comptait plus que le nombre d’articles : un blog WordPress isolé de 40 articles n’a obtenu aucune citation. Google rappelle que ses règles anti-spam couvrent les tentatives de manipulation des réponses de l’IA.

• Sommaire : facteur 1,7 (présent sur seulement 14 % des pages)
• Balisage Article : facteur 1,6 (2,0 pour les AI Overviews)
• FAQPage : facteur 1,5, si les questions sont réelles
• Pages cumulant ces éléments : 2,1 fois plus citées
• llms.txt : aucun effet mesurable

Ce que ça change pour votre site
Les bonnes pratiques GEO rejoignent celles d’un contenu bien structuré pour vos lecteurs : un sommaire, des intertitres clairs, une FAQ fondée sur de vraies questions clients, une date de mise à jour visible et des données structurées. Et pour être cité, être mentionné sur des sites que les IA consultent déjà (presse locale, annuaires professionnels, médias spécialisés) compte autant que votre propre blog.

Sources : SISTRIX · Search Engine Journal

6. Search Console : les traces de l’AI Mode et le rappel de John Mueller

Une étude de Jan-Willem Bobbink (GSC Wizard) relayée par Abondance repère dans la Search Console des requêtes étranges : des réponses brutes comme « oui » ou des relances conversationnelles, typiques de l’AI Mode. Sur 155 sites, ces requêtes ont été multipliées par 21 en un an et apparaissent sur 94 d’entre eux. Elles restent marginales (0,13 % des impressions), mais leur taux de clic moyen n’est que de 2,9 %.

Par ailleurs, John Mueller a rappelé qu’une page indexée n’est pas forcément bien classée, même sur une requête de marque : tout dépend du caractère distinctif du nom. Une marque proche d’un terme générique peut légitimement perdre des positions.

Ce que ça change pour votre site
Si le taux de clic de certaines pages baisse sans perte de position, ces impressions conversationnelles peuvent en être une cause : ce n’est pas forcément un problème de contenu. Et si votre nom de marque ressemble à un terme générique, renforcez les signaux qui vous identifient (fiche Google Business Profile, mentions, page À propos, données structurées Organization).

Sources : Abondance (étude AI Mode) · Abondance (John Mueller)

7. En bref : volatilité, URL, JPEG XL et vision agentique

Forte volatilité le 24 octobre, sans confirmation de Google

Les outils de suivi ont enregistré de fortes variations de classement le 24 octobre, après des secousses les 16, 20 et 21 octobre. Google n’a annoncé aucune mise à jour : inutile de modifier vos pages dans l’urgence, observez plutôt vos données sur deux à trois semaines.

Source : Search Engine Roundtable

Structure des URL : tirets plutôt que underscores

Google a mis à jour le 23 octobre ses bonnes pratiques sur la structure des URL, en précisant les règles de séparation des mots : les tirets (-) restent préférables aux underscores (_).

Source : Google Search Central

JPEG XL pas encore pris en charge par Google Images et Discover

Même si Chrome et Firefox l’affichent, ce format d’image n’est pas encore pris en charge pour les aperçus Google Images et Discover. Restez sur WebP ou AVIF.

Source : Search Engine Journal

Sundar Pichai imagine une « couche agentique » unifiant Search et Gemini

Le PDG de Google décrit un avenir où des agents d’IA relient la recherche, les AI Overviews et Gemini dans une même expérience, et où ces agents accèdent aux sites par leurs pages comme par des protocoles dédiés.

Source : Search Engine Journal

En résumé

Cette semaine rappelle que la visibilité commence par un site sain et sécurisé. Une fois cette base assurée, l’enjeu est clair : structurer vos contenus pour qu’ils soient cités par l’IA de Google et par les assistants conversationnels, sans négliger le SEO classique, qui reste votre premier canal d’acquisition.

Pour recevoir chaque mois l’essentiel de cette veille et un conseil concret, abonnez-vous à ma newsletter, Le Fil Vermillon.

Questions fréquentes