元凶っつーか、原因となるバグは両方だな。
http://www.cert.org/advisories/CA-2001-11.html

IISのバグは7ヶ月もほったらかしだったそうだが。