Concordo com o ponto central: o risco não nasceu no dia 21, só ficou visível. O relatório da Amazon reforça isso: houve tentativas nos honeypots dela a 17/10, quatro dias antes do anúncio.

Do lado de quem gere equipas, acrescento uma camada que costuma faltar antes de todas as outras: o inventário. Esta semana, em muitas empresas, a pergunta difícil não foi "já actualizámos?", foi "onde corre PHP, em que versão e quem responde por cada servidor?". Sem essa lista, nem o patch nem as outras camadas chegam a todo o lado.

Na tua experiência, quem é dono desse inventário: o dev, o ops, ou ninguém?