Die Episode zeigt eine Governance-Lücke beim Risikomanagement und der Zuständigkeit für internetzugängliche Systeme—insbesondere Websites—im Rahmen von Managed Service Provider-Verträgen auf. Diese Lücke entsteht durch unklare vertragliche Grenzen zwischen Managed Service Providern, Kunden, Webentwicklern und Hosting-Anbietern, was Schwachstellen bei größeren Infrastrukturproblemen offenlässt. Das Beispiel der PHP-Sicherheitslücken verdeutlicht, wie fehlende Verantwortlichkeiten zu Verzögerungen oder dem Ausbleiben von Gegenmaßnahmen führen.
Zwei schwerwiegende PHP-Sicherheitslücken, die seit Version 5 bestehen und mit 9,2/10 bewertet werden, betrafen etwa 70% der Websites mit Serversprache, so The Verge und Cloudflare. Angriffe erfolgten bereits vor öffentlicher Bekanntmachung und der Verfügbarkeit von Patches; das Einspielen der Updates war ausschließlich manuell durch MSP, Hoster oder Support-Hersteller möglich. Innerhalb von Stunden nach der Veröffentlichung wurden Millionen Angriffsversuche registriert und kompromittierte Systeme festgestellt.
Die Risiken werden durch hohe Anteile nicht unterstützter PHP-Installationen verstärkt: Laut Perforce nutzen 40% veraltete Versionen, Updates sind nur mit bestehenden Verträgen bei Distributionen oder Herstellern wie Zend verfügbar. Branchenanalysen und Behörden verweisen auf fehlende Abstimmung und unklare Zuständigkeiten.
Für Managed Service Provider und IT-Verantwortliche bedeutet dies: Alle kundenseitigen Systeme müssen inventarisiert, Verantwortlichkeiten für Wartung und Patches dokumentiert und Kunden über die Risiken nicht gemanagter Systeme informiert werden. Bleiben diese Lücken bestehen, drohen vermeidbare Vorfälle und Verzögerungen infolge unklarer Zuständigkeiten.