...
Auf PHP-Dateien sollte nur der Eigentümer "volle" Rechte (das Ausführen-Flag lässt man in der Regel weg) besitzen, Gruppe und Alle erhalten lediglich das Leserecht.PHP-Dateien haben also das Flag 644:
6 (Owner) = Read, Write
4 (Group) = Read
4 (All) = Read...
Wobei das auch nicht wirklich hilft, wenn PHP als CGI/FastCGI (z.B. bei 1&1 und Strato) im Kontext des FTP-Nutzers läuft. Dann hat auch jede böse WP-/Plugin-Sicherheitslücke Schreibrechte auf alles.
Gruß
Ingo