Este incidente revela una serie de fallos estructurales y de proceso en la gestión de seguridad del proyecto PHP, que culminaron en la divulgación de dos vulnerabilidades críticas de ejecución remota de código (RCE). La causa raíz principal no fue una falla técnica aislada, sino una combinación de recursos insuficientes, procesos de toma de decisiones ineficaces y una falta de priorización clara frente a problemas complejos. El problema OOM (CVE-2026-109618) fue identificado inicialmente en 2024, pero su resolución se estancó durante meses debido a la dificultad de encontrar un fix sin comprometer la compatibilidad o el rendimiento, y la incapacidad del pequeño equipo de seguridad para llegar a un consenso y tomar una decisión. Esta parálisis decisoria es un claro ejemplo de "human error" a nivel organizacional.

La cascada de fallos se aceleró con la filtración de los CVEs y la información incorrecta, lo que llevó al proyecto PHP a adelantar su anuncio y el lanzamiento de los parches. La posterior publicación accidental de un video PoC por parte de Calif y, más críticamente, la ruptura del embargo por Chainguard al publicar imágenes con el fix antes de la divulgación coordinada, expusieron a los usuarios a un riesgo significativo. Estas acciones permitieron a los atacantes estudiar los parches y desarrollar exploits funcionales antes de que la mayoría de los usuarios tuvieran una vía fácil para actualizar, socavando el propósito de una divulgación coordinada.

Las salvaguardas fallaron en múltiples niveles. Primero, la falta de un proceso claro y ágil para resolver vulnerabilidades complejas con trade-offs difíciles impidió una acción temprana. Segundo, los acuerdos de embargo y divulgación coordinada no se mantuvieron, lo que indica fallos en la comunicación y el cumplimiento entre las partes involucradas. Aunque se realizaron auditorías de seguridad y se utilizaron herramientas avanzadas (IA-assisted research), la capacidad humana para analizar, decidir y parchear problemas fundamentales del motor PHP fue el cuello de botella. La dependencia de un pequeño grupo de expertos y la financiación limitada para la seguridad fueron factores clave que exacerbaron la situación, demostrando que incluso con la detección temprana de vulnerabilidades, la capacidad de respuesta y remediación es crucial.