Una opción muy segura es poner el binario analizador de PHP en algún lugar fuera del árbol de ficheros de la web. En /usr/local/bin, por ejemplo. El único inconveniente real con esta opción es que ahora tendrá que poner una línea similar a:
#!/usr/local/bin/php
#! como mecanismo
de ejecución de si mismo.
Para que PHP maneje la información correctamente de PATH_INFO y PATH_TRANSLATED con esta configuración, La directiva ini cgi.discard_path debe estar habilitada..