Возможно ли подделать переменную $_SERVER?
Для начала, эта переменная никем не отдается. Ее формирует сам php.
Часть значений этого массива заполняется из пришедших http-заголовков. Как вы понимаете в некоторых заголовках специально можно прислать всё что угодно.
Всем спасибо за ответы, я обязательно внимательно изучу все представленные ссылки. Всех с праздником Пасхи и с Днем трудящихся.