🔓 WordPress en danger, derniers jours pour Unstale à vie 👀

Les dossiers chauds du jour : faille critique PHP2Shell à checker côté serveur en 5 min, J-5 pour le Lifetime Unstale + -20% cumulable, le protocole ChatSEO que Claude ne fait pas seul, et plus !

J’espère que tu te portes toujours aussi bien.

Cette semaine, édition dense mais très actionnable : une faille serveur critique qui contourne tes plugins de sécurité, la dernière ligne droite pour profiter d’Unstale en licence à vie, et le décryptage de ce que ChatSEO automatise vraiment.

Sans oublier mes coups de cœur et les news IA à ne pas rater. Installe-toi, on décortique tout ça ensemble.

---

👇 Au menu du jour 👇

• PHP2Shell : mettre à jour WordPress ne suffira pas cette fois 🔓
• Unstale : tes articles page 2 peuvent repasser page 1 (fin du lifetime) 🧞‍♂️
• Ce que ChatSEO vérifie et que ton IA oublie 🧠
• Mes coups de cœur de la semaine 💖
• Les news IA majeures 🤖

---

🚨 PHP2Shell : mettre à jour WordPress ne suffira pas cette fois 🔓

Une faille critique touche PHP : PHP2Shell. Sévérité 9,2 sur 10, exploitable sans mot de passe. Les 2 CVE sont sorties le 21 octobre, et les premières attaques ont été repérées le jour même.

Pourquoi c’est grave

La faille vit sur le serveur, pas dans WordPress. L’attaquant exécute son code avant que WordPress ne charge : tes plugins de sécurité ne voient rien.

Si un pirate entre avant le patch, le correctif ne suffit plus. Ce qui t’attend :

• un compte admin fantôme

• une backdoor qui survit aux mises à jour

• des redirections vers des arnaques, visibles seulement sur mobile

• des milliers de pages spam indexées sous ton nom

• le vol de ta base clients, commandes et mots de passe compris

Ce que tu dois faire selon ton hébergement

Mutualisé ou managé

Note ta version de PHP dans Outils > Santé du site > Infos > Serveur. Versions corrigées : 8.5.12, 8.4.27, 8.3.36 et 8.2.35.

EasyHoster, MassiveHoster, Monarobase, O2Switch, OVH, Kinsta, WP Engine, Hostinger, Cloudways et DreamHost annoncent être patchés à 100 %. SiteGround et Pressable se disent protégés. Liquid Web et InMotion sont en cours.

Dans le doute, écris au support :

Mon site tourne sur PHP X. Le fix PHP2Shell (CVE-2026-109618 et CVE-2026-109619) est-il installé sur mon serveur ? Si non, quand ?

S’ils te parlent de pare-feu, insiste : tu veux savoir si PHP est à jour.

En attendant, mets Cloudflare devant ton site, l’offre gratuite suffit. Ses règles bloquent déjà les attaques connues.

VPS, dédié ou Docker

1. Installe les paquets PHP corrigés de ta distribution.

2. Redémarre PHP-FPM ou Apache. Sans redémarrage, l’ancien code vulnérable reste en mémoire.

Sous Docker, pull la nouvelle image puis recrée tes conteneurs. Le pull seul ne suffit pas. Si besoin, confie la consigne à Claude ou ChatGPT.

PHP 8.1 ou plus ancien

Ces versions ne reçoivent plus de correctifs auto. Il faut en changer :

1. Fais une sauvegarde complète.

2. Mets à jour plugins et thèmes.

3. Passe en PHP 8.3 ou 8.4 depuis ton panel.

4. Teste ton accueil, ton formulaire de contact et ton tunnel d’achat.

Vérifie que personne n’est déjà entré

Le patch ferme la porte, il ne chasse pas un intrus déjà dedans. 5 minutes suffisent :

• Utilisateurs : filtre sur Administrateur. Tu reconnais tout le monde ?

• Extensions : un plugin que tu n’as jamais installé ?

• Google : tape site:tondomaine. Des pages casino, pharma ou en langue étrangère ?

• Search Console : regarde l’onglet Problèmes de sécurité.

• wp-content/uploads : le moindre fichier .php est un énorme drapeau rouge.

Si un point cloche, demande à ton hébergeur un scan et une restauration d’avant l’attaque. Puis change tous tes accès.

---

⏳ Derniers jours pour Unstale à vie : refresh par lots, sans crédits ♾️

Tu as sûrement des dizaines d’articles qui rankaient bien il y a deux ans et qui glissent aujourd’hui entre la 8e et la 20e place. Rien n’est cassé : les chiffres sont périmés, les prix ont changé, l’année dans le titre n’est plus la bonne. Google le voit, et la page sort doucement du top 10.

C’est pour ça que j’ai créé Unstale, un plugin WordPress qui remet ces contenus à jour par lots entiers, sans casser ce qui fonctionne.

Ce que fait Unstale

• Il repère les articles qui ont vieilli, triés par ancienneté dans l’écran Content health.

• Il vérifie les faits sur le web en temps réel : chiffres, prix, dates, années.

• Il réécrit au niveau que tu choisis, de la simple correction des faits (Minimal) à la refonte complète avec TL;DR, CTA et quiz (Maximal).

• Il te montre un diff avant/après. Rien ne part en ligne sans ton accord.

• Il republie sans toucher à l’URL, et garde l’ancienne version en révision.

Le tout tourne sur ta propre clé API (Anthropic, OpenAI ou Gemini). Pas de crédits, pas de compteur : tu payes ton fournisseur au prix coûtant, soit entre 0,09 $ et 0,81 $ pour un article de 1 200 mots avec recherche web, selon le modèle.

Les résultats à en attendre

Un refresh paie le plus sur la page 2 : les articles entre la 8e et la 20e position, qui ont déjà l’autorité pour ranker mais ont perdu leur fraîcheur. C’est là qu’une mise à jour sérieuse peut les faire basculer en page 1. Au-delà de la 30e place, ça ne suffit généralement pas, et Unstale ne remplace pas le netlinking.

Je le teste en ce moment sur webandseo.fr : 10 articles de plus d’un an rafraîchis en septembre, comparés à des articles jumeaux jamais touchés, pour séparer l’effet du refresh de la tendance générale du site. Les mesures démarrent le 4 novembre et je te partagerai les résultats ici, qu’ils soient bons ou décevants.

💡 Pro Tip : installe la version gratuite, prends ton article le plus ancien classé entre la 8e et la 20e place, lance un refresh Balanced et lis le diff. En 5 minutes, tu sais si ça vaut le coup pour ton site.

Tarifs et offres limitées

• Gratuit : niveaux Minimal et Balanced, recherche web, file de relecture, jusqu’à 50 articles par lot, sans carte bancaire.

• Pro : 59 $/an (1 site), 149 $/an (5 sites), 299 $/an (illimité). Tu débloques les niveaux Strong et Maximal, l’automatisation planifiée et les règles par catégorie.

Et deux offres à durée limitée :

• Offre Legacy (Founder LTD sur le site) : licence à vie en paiement unique, 149 $ pour 1 site ou 349 $ pour 5 sites. Jusqu’au 31 octobre seulement, ensuite elle ferme.

• Coupon EARLYBIRD : -20 % sur tous les plans, valable jusqu’au 15 novembre à minuit (heure de Paris).

Le Pro 1 site passe de 59 $ à 47,20 $ par an. Et il se cumule avec l’offre Legacy : jusqu’au 31 octobre, la licence à vie tombe à 119,20 $ pour 1 site, 279,20 $ pour 5 sites.

Garantie satisfait ou remboursé de 14 jours sur tous les plans payants.

---

🔍 Ce que ChatSEO fait et que ton IA oublie 🧠

Tu as peut-être déjà branché ta Search Console à Claude ou ChatGPT pour obtenir des recommandations SEO. Face à Léo Poitevin, Paul Vengeons, cofondateur de ChatSEO, explique pourquoi ça ne remplace pas son outil. Voici ce que ChatSEO fait vraiment, ses limites, et ce qu’il te faut pour le reproduire avec Claude.

Ce que ChatSEO exécute avant de te répondre

Le chat n’est que la partie visible. Derrière, l’outil applique un protocole de référenceur, étape par étape.

Créer ou optimiser

Première décision : publier une nouvelle page ou retravailler une page existante ? Pour trancher, ChatSEO croise ta Search Console avec les slugs de ton sitemap.

Claude ne fait pas ce contrôle sans consigne. Il répond à la question, sans vérifier si une de tes pages cible déjà la requête, et tu finis avec deux pages qui se cannibalisent.

Lire la SERP

ChatSEO récupère ensuite le code source des pages du top 3. Sur « table basse », il voit que Google classe des pages catégories e-commerce et te le signale. Un LLM qui répond de mémoire te proposerait une définition de 800 mots hors sujet.

Les mots-clés secondaires

L’outil extrait les mots-clés sur lesquels l’URL classée première se positionne aussi dans le top 5. Il y ajoute tes requêtes dormantes : beaucoup d’impressions, peu de clics, aucune page dédiée.

Sur une page ciblant Paris, l’outil demande une photo personnelle et des avis clients géolocalisés : l’analyse couvre aussi les signaux de confiance.

La méthode et la mémoire

Le processus tient en étapes courtes, sans micro-règles. Au lancement, l’outil proposait pourtant de retravailler des requêtes de marque déjà acquises ou de changer chaque title à CTR bas. Une mémoire interne a corrigé ça : ChatSEO sait ce qui a déjà été optimisé et peut te dire de ne toucher à rien.

Les limites de ChatSEO

• Un message = un crédit, simple question ou audit complet. La version gratuite donne 10 messages, puis 3 par jour.

• Peu utile sur un site neuf : sans historique Search Console, pas de requêtes dormantes, ni d’arbitrage fiable.

• Pas de crawl technique profond, ni de suivi de positions à grande échelle.

• Google Analytics et l’accès MCP/API ne sont pas inclus dans la formule Starter.

• Netlinking et audit technique pas encore automatisés.

Claude + Search Console peut-il le remplacer ?

Oui, mais pas facilement. La Search Console ne montre que tes données : ni SERP, ni mots-clés concurrents, ni volumes. Il te faut 4 briques :

1. Un connecteur GSC : un serveur MCP comme mcp-gsc, ou une version hébergée qui fait transiter tes données par un tiers.

2. Des données marché : DataForSEO, la source de ChatSEO, a un MCP officiel facturé à l’appel. Haloscan aussi, pour le marché français.

3. La méthode : le protocole ci-dessus, écrit dans un skill Claude Code.

4. Une mémoire : un fichier qui liste les pages déjà optimisées et leur date.

J’utilise déjà Claude Code avec le MCP Haloscan pour analyser le top 5 avant d’écrire. La partie données se branche assez rapidement si tu es à l’aise avec un terminal. Si tu ne l’es pas, ChatSEO t’évite ce chantier.

ChatSEO a d’ailleurs son propre MCP, pilotable depuis Claude Code, ChatGPT ou Cursor. Dans le test de Digitiz, Claude Code a récupéré son plan SEO, écarté 3 pages en doublon sur 5 et publié les 2 autres en français et en anglais.

Je l’ai testé moi-même et j’en suis satisfait. Tu maîtrises le SEO et Claude Code ? Reproduis la méthode avec ces 4 briques. Sinon, teste ChatSEO gratuitement (lien affilié) et surveille tes crédits. -10 % à vie avec le code : WEBANDSEO 🏷️

Netlinking, rédaction et GEO

Prochaine étape pour ChatSEO : appliquer lui-même les changements sur ton CMS. La connexion à WordPress, Shopify et Webflow existe déjà, sans plugin, et rien n’est modifié sans ton accord.

La feuille de route

Quatre chantiers : fiabiliser le cœur du produit sur les requêtes complexes, remonter les opportunités sans que tu ouvres de conversation, un agent de rédaction aligné sur ta charte, puis l’automatisation du netlinking et d’un audit technique limité aux blocages d’indexation.

Pour les liens, l’outil filtrera des catalogues existants sur le trafic thématique réel. Ça élimine les sites sans audience, pas les spots à la ligne éditoriale faible ou saturés d’articles sponsorisés. Là, l’œil d’un référenceur reste nécessaire.

💡 Pro Tip : saute les audits techniques interminables, corrige les blocages d’indexation signalés par la Search Console, puis consacre ton temps aux pages business.

Faut-il adapter sa stratégie au GEO ?

Optimiser pour Google prépare déjà ton référencement dans les IA. Le seul ajustement porte sur les requêtes : vise des expressions comparatives comme « meilleur outil SEO 2026 ». Pour y répondre, un moteur de réponse doit comparer, donc citer des pages qui l’ont déjà fait.

Repérer tes requêtes comparatives

1. Search Console, rapport Performances : filtre Requête en expression régulière avec meilleur | comparatif | vs | avis | alternative.

2. Garde celles qui ont des impressions et une position au-delà de 10.

3. Une page y répond déjà ? Optimise-la. Sinon, crée une page comparative.

4. Format : un tableau des options sur les mêmes critères, un verdict par profil, une date de mise à jour visible.

---

Ton site mérite mieux que la page 2 de Google 🎯

Pendant que tes concurrents s’épuisent à chasser des liens, SEOPepper s’occupe de tout : une stratégie de netlinking taillée pour ton business, des backlinks thématiques qui pèsent vraiment, et toi qui récupères du temps (et des positions).

SEO + GEO, on couvre les deux fronts.

Envie d’en parler ? Un coup de fil suffit 👉 06 10 86 60 75 📲

---

💖 Coups de cœur et tips business

• Les aperçus IA couvrent 88 % des requêtes commerciales

• Cold email en 2026 : trouver des clients sans finir en spam

• Visibilité IA : 194 pros du search dévoilent leurs pratiques

• Aperçus IA sans clics : Google promet plus de liens

---

🤖 News IA majeures

• Canva lance Craft : son modèle d’images IA pour les pros

• 77 % des marketeurs jugent le contenu IA moins bon qu’un humain

• 3 géants lancent presque en même temps leurs agents IA autonomes

---

---

Comme toujours, j’espère que cette édition t’aura plu 😊

Si tu as un doute sur ta version de PHP, une question sur Unstale ou un avis sur ChatSEO vs Claude, réponds-moi en com, je lis tout.

Et si cette newsletter peut sauver le site d’un ami, transfère-la lui, tu pourrais lui éviter une très mauvaise surprise.

Bonne semaine à toi,
Max