Depuis quelque temps on trouve dans le fichier mods-enabled/php5.conf la mention :

<FilesMatch "\.ph(p3?|tml)$">
    SetHandler application/x-httpd-php
</FilesMatch>

Résultat, même un fichier n'ayant pas les droits d'exécution (mode 444) se retrouve exécuté... Pour parer à ce problème la seule solution que j'ai trouvé est de rajouter dans la configuration du répertoire cible (sites-enabled/default) :

<Directory "xxx">
    <FilesMatch "\.ph(p3?|tml)$">
        SetHandler application/x-httpd-php-source
    </FilesMatch>
</Directory>