Das Problem ist nicht der Apache. Das Problem ist, daß temporäre Dateien angelegt werden!
Na und?
Wenn auf einem Webserver wegen des virtuellen Hostings viele Benutzer sind, dann wird dieser regelmäßig mit mpm_itk_module oder ähnlichem gestartet, die in /tmp/ abgelegten Dateien werden dann auch diesem Benutzer zugeordnet (mit chmod 0600) und die als CGI(!) gestarteten PHP-Skripte werden auch mit den Rechten dieses Benutzers ausgeführt.