die wurde scheinbar überschreiben, eben durch eine lfi oder rfi. ist nur die frage wo die sicherheitslücke dazu ist.
schau mal nach ob irgendwo daten includiert werden, die vorher nicht sauber abgefragt werden. dann schau mal in den logs nach, ob da irgendwie code durch fehlende daten eingeschleust wurde, und anschliesend die logs includiert worden (lfi)
dann schau mal nach - wenns nen root ist - ob die php einstellungen sauber sind, sprich ob die scripte auch nur in ihren verzeichnissen lesen dürfen, ob der apache auch niht als root läuft, ob ein includieren via http erlaubt ist etc pp.... register globals auf off ...
das übliche!