Wiz

L'éditeur

Wiz est un éditeur de sécurité cloud dont le siège est à New York, selon le communiqué de Google Cloud du 11 mars 2026. La presse économique israélienne (Calcalist, 15 juillet 2024) date sa création de 2020 et nomme quatre fondateurs : Assaf Rappaport (directeur général), Ami Luttwak (directeur technique), Yinon Costica (produit) et Roy Reznik (recherche et développement), déjà associés chez Adallom, vendue à Microsoft en 2015. La page de présentation de l'éditeur, consultée le 21 octobre 2026, affiche la mention « Now part of Google Cloud » et revendique 65 % du Fortune 100 parmi ses clients ; le communiqué de mars 2026 disait 50 %. Les deux chiffres viennent de Wiz.

Le texte de présentation que Wiz joint à ses communiqués décrit une plateforme qui « connects code, cloud, and runtime into a single shared context », pour que les équipes de sécurité et d'ingénierie voient le risque réel, corrigent à la source et arrêtent les menaces. Wiz ne publie pas d'effectif daté sur son site ; aucun chiffre n'est repris ici.

Le rachat par Google

Le 18 mars 2025, Alphabet déclare auprès de la SEC (formulaire 8-K) avoir signé un accord pour acquérir Wiz, Inc. pour « $32 billion, subject to closing adjustments, in an all-cash transaction », sous réserve des autorisations réglementaires, avec une clôture attendue en 2026. Le billet de Google du même jour présente Wiz comme « a leading cloud security platform headquartered in New York » et promet que ses produits resteront disponibles sur AWS, Microsoft Azure et Oracle Cloud. Huit mois plus tôt, le 23 juillet 2024, le quotidien Globes rapportait, d'après la presse américaine, une offre d'environ 23 milliards de dollars déclinée par Wiz, et citait le mémo interne d'Assaf Rappaport : « Saying no to such humbling offers is tough ». Ni Google ni Wiz n'ont confirmé ce montant, et le mémo ne nomme pas l'acheteur.

La Commission européenne, saisie le 6 janvier 2026 (affaire M.11964), autorise l'opération sans condition le 10 février 2026 : elle juge que les clients garderaient plusieurs alternatives crédibles si Google liait Wiz à ses propres produits, et que les données auxquelles Google accède ne sont pas commercialement sensibles. Le cabinet Cleary Gottlieb, conseil antitrust de Google, liste sept juridictions ayant autorisé sans condition : États-Unis, Commission européenne, Australie, Israël, Arabie saoudite, Afrique du Sud et Türkiye. Thomas Kurian annonce la clôture le 11 mars 2026 : Wiz rejoint Google Cloud et garde sa marque.

Un positionnement multicloud maintenu

Le billet de clôture de Thomas Kurian l'écrit en toutes lettres : « Wiz products will continue to work and be available across major clouds, including Amazon Web Services, Microsoft Azure, and Oracle Cloud Platform ». Google Cloud y annonce l'intention de réunir Google Threat Intelligence, Google Security Operations et la plateforme Wiz dans une offre unique, adossée aux consultants de Mandiant. Au 21 octobre 2026, cette offre combinée reste une annonce, sans fiche produit publiée.

Pour une DSI européenne, le rachat place Wiz sous le même actionnaire américain que Google Cloud, avec les conséquences juridictionnelles décrites sur la fiche CLOUD Act. Le caractère multicloud de l'outil ne change rien à ce point.

Wiz Research et Wiz Atlas

Wiz Research est l'équipe de recherche en vulnérabilités de l'éditeur. Le 27 juillet 2026, Nir Ohfeld et Yuval Avrahami y présentent Wiz Atlas, « an autonomous AI system for vulnerability research » composé d'agents spécialisés, chacun chargé d'une étape de la recherche. Wiz lui attribue plus de 200 vulnérabilités inédites dans grpc, dnsmasq, Kubernetes, gVisor, le noyau Linux et containerd, la première place du classement CyberGym avec 90,9 % de réussite, et une règle de validation : chaque signalement s'accompagne d'un exploit fonctionnel généré par le système. Ces trois chiffres sont déclarés par Wiz et n'ont pas été audités par un tiers. L'éditeur commercialise Atlas sous le nom Wiz AI SAST, dans Wiz Code. Le cadre général de cette pratique est décrit sur la fiche recherche de vulnérabilités par IA.

PHP2Shell

Le 19 août 2026, Wiz Research trouve la première des deux failles PHP2Shell avec Wiz Atlas, Gemini 4 Argon et GPT-5.6 Sol. L'équipe confirme une exécution de code à distance sans authentification sur Drupal le 20 août, sur WordPress le 21, transmet ses rapports à l'équipe de sécurité PHP le 24 août et reçoit l'accusé de réception le 21 septembre. Les correctifs et le billet de Wiz sortent le 21 octobre 2026, signés Sagi Tzadik, Shir Tamari, Nir Ohfeld et Tomer Schwartz. La fiche CVE-2026-109618 publiée par la CNA PHP cite ce billet comme avis tiers.

Wiz conclut son billet ainsi : « a single researcher completed in a week what previously would have taken a world-class team months of work ». Calif, OpenAI et Quarkslab ont trouvé ou signalé les mêmes failles de leur côté ; la chronologie complète est sur la fiche PHP2Shell.