Сначала я заметил, что если я зайду на http://example.org/wp-config.php, он выдаст мне пустую страницу вместо ошибки 404. Я протестировал его с другим файлом - wp-config-example.php, и он дал мне страницу со следующим текстом: "Ошибка при установлении соединения с базой данных". Так что он определенно только что выполнил тот php-скрипт. Если я зайду на http://example.org/wp-content/themes/TheFox/screenshot.png, apache2 предоставит мне этот файл.
Это кажется мне очень опасным. Я не знал об этом в течение некоторого времени и хранил .sql резервную копию всей базы данных WordPress в каталоге WordPress - любой мог скачать его.
Я только что настроил apache2 с помощью <Directory /path/to/wordpress/dir/ , и это сработало, поэтому я думал, что все сделано правильно, но теперь у меня есть сомнения.