El episodio pone en evidencia una brecha de gobernanza en la gestión de riesgos y la responsabilidad sobre sistemas expuestos a Internet—especialmente sitios web—dentro de los contratos de servicios administrados de TI. Esta brecha surge por límites contractuales ambiguos entre servicios administrados de TI, clientes, desarrolladores web y hosts, dejando vulnerabilidades sin atender ante fallas graves de infraestructura. El caso de las vulnerabilidades de PHP demuestra cómo la ausencia de responsables claros retrasa o impide la solución oportuna.
Dos fallos severos en PHP, presentes desde la versión 5 y con una gravedad de 9,2/10, afectaron a aproximadamente el 70% de los sitios web con lenguaje del lado del servidor, según The Verge y Cloudflare. Los ataques comenzaron antes de la publicación de los parches y de su divulgación pública, y la corrección no llegaba automáticamente sino requería intervención manual por parte de MSP, host o fabricante de soporte. Tras la divulgación, se detectaron millones de intentos de ataque y brechas confirmadas en sistemas sin actualizar.
El riesgo se agrava por la alta proporción de instalaciones de PHP sin soporte: Perforce estima que el 40% de los usuarios usan versiones sin soporte, con parches disponibles solo mediante acuerdos previos con distribuciones Linux o fabricantes como Zend. Las recomendaciones regulatorias y el análisis del sector resaltan la falta de coordinación y comunicación, con muchas organizaciones sin responsable designado para parches ni claridad sobre la actualización.
Para los servicios administrados de TI y líderes tecnológicos, la implicación es directa: inventariar todos los sistemas expuestos del cliente, documentar quién gestiona el mantenimiento y los parches, y asegurar que los clientes conozcan los riesgos de plataformas fuera del alcance directo. De no hacerlo, persisten brechas que exponen a incidentes evitables y demoras por falta de responsables claros.