Ну на устранение sql инъекций бизнес-то ресурсы должен выделить, как никак безопасность проекта, а там можно и потихоньку переписать для начала модули, которые за эти инъекции ответственны, затем рассказать тру стори про тех. долг и допереписать остальное. А про комментарии о микросервисной архитектуре - это, конечно, стильно, модно и молодежно, но никто не делает микросервисы на модулях из легаси кода. Вообще безотказная система для этого должна быть