L’épisode met en lumière un déficit de gouvernance dans la gestion des risques et la responsabilité des systèmes exposés à Internet—notamment les sites web—dans les contrats d’infogérance. Cette faille naît de limites contractuelles floues entre prestataires informatiques, clients, développeurs web et hébergeurs, laissant des vulnérabilités non traitées lors de failles majeures. L’incident des vulnérabilités PHP démontre comment un défaut de responsabilité entrave la correction rapide des incidents.
Deux failles graves dans PHP, existant depuis la version 5 et notées 9,2/10, touchaient environ 70% des sites utilisant un langage serveur, selon The Verge et Cloudflare. Les attaques ont commencé avant la sortie des correctifs et l’annonce publique; les patchs de sécurité nécessitaient une intervention manuelle du prestataire, de l’hébergeur ou d’un éditeur tiers. Après l’annonce, des millions de tentatives d’attaque ont été détectées, dont certaines ont compromis des systèmes non corrigés.
Le risque est accentué par la part importante d’installations PHP sans support : selon Perforce, 40% des utilisateurs restent sur des versions obsolètes ; les correctifs n’existent alors qu’en cas d’accord préalable avec une distribution Linux ou un éditeur comme Zend. Les recommandations réglementaires et analyses du secteur soulignent un manque de coordination et de clarté sur les responsabilités de mise à jour.
Pour les prestataires d’infogérance et responsables informatiques, il est impératif d’inventorier chaque système exposé du client, de documenter précisément les responsabilités de maintenance et de correction, et d’informer clairement le client des risques pour les systèmes hors gestion directe. À défaut, les lacunes persistent, exposant à des incidents évitables et à des délais dus à l’absence de responsabilité clairement définie.