Une lumière qui clignote quarante fois par seconde pourrait-elle ralentir la maladie d’Alzheimer ? La piste des ondes cérébrales gamma franchit une nouvelle étape, tandis que le télescope James Webb remonte la trace du sursaut radio le plus lointain jamais observé et que la génétique éclaire le vieillissement accéléré des grands chiens. Tour d’horizon des découvertes qui marquent cet automne.

Alzheimer : la piste des 40 hertz se précise

Le cerveau fonctionne au rythme d’oscillations électriques. Parmi elles, les ondes dites gamma, autour de 40 hertz, jouent un rôle dans l’attention et la mémoire, et elles sont perturbées chez les patients atteints de la maladie d’Alzheimer. En 2016, l’équipe de la neuroscientifique Li-Huei Tsai, au MIT, montrait dans la revue Nature qu’une lumière clignotant à 40 hertz réduisait chez la souris les plaques amyloïdes caractéristiques de la maladie. Depuis, une question domine : l’effet se retrouve-t-il chez l’humain ?

Les éléments s’accumulent. Le 25 septembre 2026, la société californienne Clarity a publié dans The Journal of Prevention of Alzheimer’s Disease une étude de faisabilité portant sur onze personnes atteintes de la maladie d’Alzheimer ou d’un trouble cognitif léger lié à celle-ci. Les participants ont reçu, dans un casque de réalité virtuelle, une stimulation lumineuse et sonore synchronisée à 40 hertz, ainsi qu’une stimulation factice. L’électroencéphalogramme a enregistré une activité à 40 hertz nettement plus forte sous stimulation active. Dans des analyses exploratoires, les participants retenaient mieux les informations présentées pendant la stimulation. Aucun effet indésirable grave n’a été signalé.

Ces résultats prolongent ceux de l’équipe du MIT, publiés fin 2025 dans Alzheimer’s & Dementia. Cinq volontaires d’un premier essai ont poursuivi chez eux, pendant environ deux ans, une heure quotidienne de stimulation lumineuse et sonore à 40 hertz. Chez les trois patientes atteintes d’une forme tardive de la maladie, le déclin cognitif a été plus lent que chez des milliers de patients comparables issus de bases de données nationales. Chez les deux d’entre elles qui ont fourni des prélèvements sanguins, le taux de pTau217, un marqueur de la maladie, a baissé de 47 % et de 19,4 %. Les deux hommes atteints d’une forme précoce n’en ont en revanche tiré aucun bénéfice significatif.

L’échéance décisive approche. La société américaine Cognito Therapeutics a recruté 673 patients dans 70 centres aux États-Unis pour HOPE, l’essai pivot de son dispositif Spectris. Après une levée de 105 millions de dollars en mars 2026, l’entreprise attendait ses premiers résultats d’ici la fin de l’année, en vue d’une demande d’autorisation auprès de la FDA et d’une commercialisation envisagée en 2027. Dans un essai précédent mené sur 76 patients, elle avait rapporté un ralentissement de 76 % du déclin mesuré par le MMSE, un test cognitif de référence, et de 69 % de la perte de volume cérébral sur six mois.

La prudence reste de mise. Les échantillons sont minuscules, la comparaison du MIT repose sur des bases de données et non sur un groupe témoin, et les chiffres de Cognito proviennent de l’entreprise elle-même. Les auteurs le reconnaissent : seuls de grands essais randomisés diront qui peut en bénéficier. Mais face à la démence, dont la maladie d’Alzheimer est la première cause et qui touche selon l’Organisation mondiale de la santé plus de 55 millions de personnes dans le monde, une thérapie non invasive, utilisable à domicile, constituerait une avancée considérable.

Le plus lointain sursaut radio jamais observé

Le 8 octobre 2026, une équipe menée par Manisha Caleb et Themiya Nanayakkara (université de Sydney) a publié dans Science l’identification de la galaxie hôte de FRB 20240304B, le plus lointain sursaut radio rapide connu. Ces éclairs radio, qui ne durent que quelques millisecondes, restent l’une des énigmes de l’astrophysique. Détecté en mars 2024 par le radiotélescope sud-africain MeerKAT, celui-ci a été émis lorsque l’Univers n’avait qu’environ 3 milliards d’années, ce qui fait plus que doubler le précédent record de distance.

Grâce au télescope spatial James Webb, les chercheurs ont localisé sa source : une petite galaxie pauvre en éléments lourds et en pleine formation d’étoiles, invisible pour les plus grands télescopes terrestres. Ce profil conforte l’hypothèse selon laquelle certains de ces sursauts proviennent de magnétars, des étoiles à neutrons jeunes et extrêmement magnétisées.

Pourquoi les grands chiens vieillissent plus vite

Un dogue allemand dépasse rarement dix ans, quand un chihuahua peut vivre deux fois plus longtemps. Une étude publiée le 8 octobre dans Science par Blaise Mariner et Noah Snyder-Mackler (Arizona State University) avance une explication moléculaire. À partir du sang de 894 chiens du Dog Aging Project, les chercheurs ont construit des « horloges épigénétiques » fondées sur la méthylation de l’ADN. Les grands chiens vieillissent un peu plus vite à chaque année de vie, et ce vieillissement s’accompagne d’une perte de marques chimiques sur les éléments transposables, ces « gènes sauteurs » qui pourraient alors devenir hyperactifs et favoriser l’inflammation. Le lien avec la sélection des races de grande taille reste une hypothèse, et les résultats ne sont pas transposables à l’humain sans études dédiées.

L’IA entre au laboratoire

L’automne a aussi confirmé l’arrivée de l’intelligence artificielle comme instrument de recherche à part entière, de la vérification de la preuve du théorème de Fermat à la découverte d’un système enzymatique inédit. Nous y consacrons un article dédié : Fermat, CRISPR, venins et circuits quantiques : les trois mois où l’IA d’Anthropic est devenue chercheuse.

Sources : Clarity (28 septembre 2026) ; MIT News (14 novembre 2025) ; Cognito Therapeutics ; HLTH (6 mars 2026) ; Sci.News ; Live Science.

Image d’illustration — Photo : Chris Hope / Wikimedia Commons (CC BY 2.0)

Longtemps cantonnée aux démonstrations, la livraison par drone est entrée dans une phase industrielle. Aux États-Unis, Walmart a franchi le cap du million de livraisons par drone, Zipline revendique plus de deux millions de vols commerciaux dans le monde, et les hôpitaux adoptent la technologie. État des lieux d’un marché qui décolle enfin.

Walmart, premier client de la livraison par drone

Le géant de la distribution est devenu le moteur du secteur. Walmart a dépassé le million de livraisons par drone en mai 2026, dont environ 40 % réalisées en un seul trimestre, depuis 66 magasins répartis dans quatre États. Le délai moyen entre la commande et la livraison est d’environ 23 minutes, et la livraison la plus rapide enregistrée n’a pris que 4 minutes et 44 secondes.

La région de Dallas-Fort Worth reste la zone la plus dense, rejointe en 2026 par Houston, Orlando et Tampa Bay. Dans la région de Charlotte, Wing et Walmart desservent désormais dix communes depuis sept magasins.

Les acteurs qui comptent

Zipline, le leader en volume

Né au Rwanda avec la livraison de poches de sang, Zipline est aujourd’hui le premier opérateur mondial, avec plus de 2 millions de livraisons commerciales en janvier 2026. Signe de son virage américain, plus de 70 % de son volume quotidien se faisait aux États-Unis à l’été 2026. Son système de dernière génération, Platform 2, peut transporter jusqu’à environ 3,6 kg. Au Texas, le tarif publié est de 0,99 dollar plus 20 % de frais de service, plafonnés à 6 dollars.

Wing, la filiale d’Alphabet

Issue de Google, Wing est le partenaire de Walmart pour son déploiement national, avec un objectif de plus de 270 magasins d’ici 2027. Ses drones emportent jusqu’à environ 1,1 kg.

Amazon Prime Air, le retardataire

Amazon a connu un parcours plus chaotique. Son drone MK30 (jusqu’à 2,3 kg de charge) vole en Arizona, au Texas et à Darlington, en Angleterre, mais le groupe a suspendu ses livraisons américaines en janvier 2025 après des accidents et fermé son activité italienne fin 2025. Amazon prévoit de démarrer à Tallahassee, en Floride, d’ici mi-novembre 2026, sous réserve d’un permis.

Les autres

Flytrex (Dallas-Fort Worth), Matternet et Valqari complètent le paysage américain, tandis que Manna (Irlande) et Everdrone (Suède) mènent des opérations en Europe.

La santé, terrain de prédilection

C’est sans doute dans le domaine médical que le drone démontre le mieux son utilité :

• La Cleveland Clinic livre gratuitement des médicaments sur ordonnance à ses patients par drone Zipline depuis août 2026 ;
• L’hôpital Tampa General achemine du sang total directement sur les lieux d’accidents graves ;
• Au Royaume-Uni, le NHS a généralisé le transport d’analyses par drone pour 1,8 million d’habitants du sud de Londres. Apian et Matternet ont déjà transporté environ 13 000 éléments entre hôpitaux londoniens.

Pourquoi ça décolle maintenant

L’argument économique est de plus en plus solide. Selon le PDG de Zipline, un vol de drone peut coûter environ 1 dollar à grande échelle, contre 9 à 11 dollars pour une livraison classique par la route. Ajoutez la rapidité, l’absence d’embouteillages et un bilan carbone favorable sur les petits colis, et l’équation devient séduisante pour la grande distribution.

Le principal frein reste réglementaire. Aux États-Unis, la règle Part 108, qui doit autoriser les vols hors vue à grande échelle, est toujours bloquée à la Maison-Blanche. En attendant, les opérateurs avancent à coups de dérogations.

Et en France ?

La France reste à l’écart de ce mouvement. Il n’existe pas de service grand public de livraison par drone comparable à ceux de Walmart ou de Zipline. Les vols hors vue relèvent de la catégorie « spécifique » de la réglementation européenne et nécessitent une autorisation de la DGAC au cas par cas. Les projets se concentrent surtout sur la logistique médicale et les zones isolées, à l’image d’une entreprise française qui étudie des livraisons vers l’île anglo-normande d’Aurigny.

Au Royaume-Uni, l’autorisation d’essai d’Amazon à Darlington expire en décembre 2026 : la décision de l’autorité de l’aviation civile (CAA) sera un signal important pour toute l’Europe.

Les défis à relever

• L’acceptabilité : bruit, survol des habitations et vie privée suscitent des réticences locales. Dans le Massachusetts, le gouverneur étudie une proposition de moratoire ;
• La sécurité : les incidents d’Amazon rappellent que la fiabilité doit être irréprochable au-dessus des zones habitées ;
• La charge utile : de 1 à 4 kg selon les modèles, ce qui suffit pour des médicaments ou un repas, pas pour les courses de la semaine.

Notre analyse

La livraison par drone n’est plus une promesse futuriste : aux États-Unis, c’est un service du quotidien pour des centaines de milliers de foyers. La question n’est plus de savoir si elle fonctionne, mais à quelle vitesse les régulateurs vont lui ouvrir le ciel. En Europe, le retard est réel, mais la santé pourrait servir de porte d’entrée, comme au Royaume-Uni.

Retrouvez toute l’actualité des drones.

Questions fréquentes

Quelle entreprise livre le plus par drone ?

Zipline, avec plus de 2 millions de livraisons commerciales dans le monde en janvier 2026, dont plus de 70 % aux États-Unis à l’été 2026.

Combien coûte une livraison par drone ?

Au Texas, Zipline facture 0,99 dollar plus 20 % de frais de service, plafonnés à 6 dollars. Selon son PDG, un vol peut coûter environ 1 dollar à grande échelle.

La livraison par drone existe-t-elle en France ?

Pas de service grand public pour l’instant. Les vols hors vue nécessitent une autorisation de la DGAC au cas par cas, et les projets portent surtout sur la logistique médicale.

Sources : DroneXL, DroneXL (Zipline), Dronewatch Europe. Photo : Roksenhorn / Wikimedia Commons (CC BY-SA 4.0).

Baptisées PHP2Shell, deux vulnérabilités critiques découvertes dans le moteur PHP permettent à un attaquant d’exécuter du code à distance sur un serveur web, sans identifiant ni mot de passe. Des correctifs d’urgence sont disponibles depuis le 21 octobre 2026, et des tentatives d’exploitation ont déjà été observées. Tous les sites qui tournent sous PHP, WordPress en tête, sont concernés.

PHP2Shell : ce que l’on sait des deux failles

Les deux vulnérabilités portent les identifiants CVE-2026-109618 et CVE-2026-109619. Elles sont chacune notées 9,2 sur l’échelle CVSS v4.0, soit le niveau « critique ». Les chercheurs de Wiz les décrivent comme parmi les plus graves de l’histoire du langage.

Sur le plan technique, les deux failles touchent la gestion de la mémoire entre les requêtes :

• CVE-2026-109618 : une corruption liée à un manque de mémoire. Une interruption pendant le traitement peut laisser des données de requête à moitié initialisées, que PHP traite ensuite comme valides au moment du nettoyage.
• CVE-2026-109619 : un « état global périmé ». Des données internes appartenant à une requête survivent après la libération de leur mémoire, et une requête suivante traitée par le même processus peut les réutiliser.

Dans les deux cas, le résultat est le même : une exécution de code à distance (RCE) sans authentification. Une seule requête suffit, et l’attaque peut aboutir avant même que le code de l’application (WordPress, un CMS, un framework) ne s’exécute. Autrement dit, la sécurité de votre site ne vous protège pas : c’est le moteur PHP lui-même qui est vulnérable.

Quelles versions de PHP sont touchées ?

Selon la FAQ publiée par watchTowr, toutes les branches sont concernées :

• PHP 8.5 avant la version 8.5.12 ;
• PHP 8.4 avant la version 8.4.27 ;
• PHP 8.3 avant la version 8.3.36 ;
• PHP 8.2 avant la version 8.2.35 ;
• PHP 7.4, 8.0 et 8.1 : toutes les versions. Ces branches ne sont plus maintenues officiellement, mais l’équipe PHP a publié des correctifs minimaux à compiler, et certaines distributions Linux proposent des paquets corrigés ;
• PHP 7.3 et antérieures (y compris PHP 5) : aucun correctif. La seule solution est de migrer vers une branche supportée.

Tous les modes d’exécution sont dans le périmètre : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Les configurations mod_php sont jugées les plus exposées. Et point important : selon l’équipe PHP, aucun réglage de configuration ne suffit à neutraliser la faille. Seule la mise à jour protège.

Une exploitation déjà en cours

La chronologie de PHP2Shell montre à quel point la fenêtre de réaction a été courte :

• 17 octobre 2026 : le pot de miel MadPot d’Amazon enregistre une première tentative d’exploitation, quatre jours avant la divulgation publique. On ignore comment l’attaquant a obtenu les détails ;
• 20 octobre : des détails fuitent sur les réseaux sociaux, avant la date de divulgation prévue au 22 octobre ;
• 21 octobre : l’équipe PHP publie les versions corrigées. watchTowr observe des exploitations dans la nature via son réseau de leurres ;
• 22 octobre : Palo Alto Networks confirme que toutes les versions de PAN-OS et Panorama sont touchées. Fortinet et Cisco analysent encore leurs produits. Searchlight Cyber publie un outil de détection open source, php2shell-scanner.

Les chercheurs de Wiz soulignent un point inquiétant : les modèles d’IA de pointe ont nettement abaissé la difficulté de transformer ces bugs en exploit fonctionnel. Le délai entre la publication d’un correctif et les premières attaques se compte désormais en heures.

WordPress et hébergement mutualisé : faut-il s’inquiéter ?

Oui. PHP fait tourner environ 70 % des sites web dans le monde, dont l’immense majorité des sites WordPress. Comme la faille se situe dans le moteur et non dans le CMS, mettre à jour WordPress ou ses extensions ne change rien : c’est la version de PHP du serveur qui compte.

Sur un hébergement mutualisé, c’est généralement l’hébergeur qui applique les correctifs. Mais beaucoup de panneaux d’administration laissent le client choisir sa version de PHP, et des sites restent bloqués sur des branches anciennes (7.4, 8.0, 8.1) pour des raisons de compatibilité. Ce sont eux les plus exposés.

Que faire maintenant : la marche à suivre

1. Vérifiez votre version de PHP. Sous WordPress, allez dans Outils → Santé du site → Informations → Serveur. Chez la plupart des hébergeurs, l’information figure aussi dans le panneau de contrôle.
2. Mettez à jour vers une version corrigée de votre branche (8.2.35, 8.3.36, 8.4.27 ou 8.5.12). Sur un serveur Linux, privilégiez les paquets de votre distribution, qui ont reçu les correctifs avant la publication publique.
3. Redémarrez les processus PHP (PHP-FPM, Apache, LiteSpeed) pour que le correctif prenne effet.
4. Si vous ne pouvez pas mettre à jour tout de suite, le NCSC britannique recommande de retirer le système d’Internet. À défaut, un pare-feu applicatif (WAF) peut servir de rempart provisoire : Cloudflare a déployé des règles contre les vecteurs connus.
5. Contrôlez vos journaux depuis le 17 octobre à la recherche de requêtes suspectes, et testez votre exposition avec php2shell-scanner.
6. Sur un hébergement mutualisé, contactez votre hébergeur pour confirmer que le correctif est appliqué, et sélectionnez une branche récente de PHP dans votre panneau.

Les utilisateurs du dépôt communautaire rpms.remirepo.net doivent être particulièrement vigilants : au moment de la divulgation, il ne proposait pas encore de mise à jour. Il est conseillé de basculer vers les paquets de la distribution ou de compiler depuis les sources.

Notre analyse

PHP2Shell rappelle une réalité souvent oubliée : la sécurité d’un site ne s’arrête pas à ses extensions. Le moteur qui l’exécute est une brique tout aussi critique, et beaucoup de sites tournent sur des versions de PHP vieilles de plusieurs années. Avec une exploitation observée avant même la divulgation et des outils d’IA qui accélèrent la création d’exploits, la règle est simple : mettre à jour PHP doit devenir un réflexe, au même titre que WordPress.

FAQ PHP2Shell

Mon site WordPress est-il vulnérable ?

Il l’est si votre serveur utilise une version de PHP antérieure aux versions corrigées. La version de WordPress n’a aucune incidence.

Un plugin de sécurité suffit-il ?

Non. L’attaque peut réussir avant que WordPress et ses plugins ne s’exécutent. Seule la mise à jour de PHP, ou à défaut un WAF en amont, protège.

Faut-il changer ses mots de passe ?

Si vos journaux montrent des signes de compromission depuis le 17 octobre, oui : changez les mots de passe, les clés d’API et les clés de sécurité de WordPress (wp-config.php), et vérifiez l’absence de fichiers suspects.

Sources : Help Net Security, watchTowr, Ubuntu. Photo : Yuri Samoilov / Wikimedia Commons (CC BY 2.0).