ich hatte das auch einmal bei einem Billig- Provider (soll aber wohl auch bei anderen passieren).
Da hat der PHP- Interpreter nicht interpretiert, sondern Apache den Code einfach durchgereicht.
Da erinnerte ich mich an einen Thread hier, dass man include- Dateien mit Passworten (z.B. für die Datenbank) in ein Unterverzeichnis legen sollte, das per Passwort geschützt ist.
Habe ich bei neuen Projekten gemacht, das aber für die alten vergessen. Gut, dass du mich dran erinnerst.
PHP- Code ist wohl so sicher wie ein Brief, der offen auf der Fensterbank liegt. Meistens sieht ihn ja keiner.
Kalle