Les fichiers .php ne doivent jamais être +w pour l'utilisateur apache, seulement +r. Et avec FPM, il est aussi possible d'utiliser un utilisateur PHP dédié.