Как решить проблему с уязвимостью PHP-FPM + Nginx?
Этот конфиг неуязвим
О чем, собственно, и написано по ссылке.
в php.ini выставить cgi.fix_pathinfo=0
А если через nginx тоlocation ~ \.php$ {
        try_files $fastcgi_script_name =404;
	fastcgi_index			index.php;
	fastcgi_param			script_FILENAME /scripts$fastcgi_script_name;
	include				fastcgi_params;
}