Ok, weil eben relativ unwahrscheinlich, dass jemand den Apache gehackt hat (wenn auch nicht ganz auszuschließen...).

Hast du mal das/ein "Modulsystem" für das VMS 1.1 nachgerüstet?

Dann könnte es auch helfen, den adminforce Ordner umzubenennen.
Klar, das ist keine echte Sicherheit, aber der "Angreifer" muss dann erstmal rausfinden, wie das Verzeichnis heißt, und das kann schon lange dauern ;-)

Ansonsten solltest du mal alle include/require_(once) überprüfen, ob da nur ein fester Pfad drinsteht oder eine Variable benutzt wird. Die mit Variable dann entsprechend prüfen, ob man iwo was einschleusen könnte.

Dann könnte man noch, die Datei im Adminforce gegen include aus nicht erlaubter Datei absichern, indem man:

in der index.php im Adminforce folgendes einfügt:
PHP-Code:
define('IN_ADMINFORCE', 1); 
in der include'ten Datei ganz oben dann:
PHP-Code:
if (!defined('IN_ADMINFORCE')) die('Direct access or include not allowed!');