يشكك البعض في نمط الحماية الذي يحيط بمترجم PHP, والحقيقة فإن نمط الحماية الذي يحيط بمترجم PHP لا يقل كفاءة عن عن مترجم Microsoft ممثلا في حزمة IIS , فكما نعلم إن PHP لغة مفتوحة المصدر يساهم في تطويرها مجموعة عمل كبيرة من كل النواحي ومع هذا يظل هنالك مجموعة من الثغرات التي لا يمكن أن نصفها بأنها تكونت نتيجة خطأ داخلي بالمترجم بل هي نتيجة قصور برمجي يتسبب فيه المبرمج.

تحتل المتغيرات variables مساحة شاسعة من أرضية الأخطاء البرمجية الشائعة , وخصوصا عندما تكون ميزة الـ Register Global متاحة , وهي ميزة لا غنى عنها , ويكثر استخدامها في مختلف التطبيقات العالمية وفكرتها هي ارسال متغيرات من صفحة لأخرى عبر URL مثلا: www.example.com/index.php?id=1.

ويتضح الخطر عندما نقوم بارسال بيانات سرية مثل كلمة المرور أو معلومات الاتصال بقواعد البيانات أو ما شابه التي كانت بالأحرى أن ترسل عن طريق الـ Post مثلا واحيانا اخرى يقوم المستخدم المتطفل بتغيير قيمة متغير معين من خلال الـ URL.

ثغرة أخرى شائعة بالPHP وهي File Include , وتظهر عندما يلجأ المبرمج إلى استخدام متغير معين ليقوم باختزان اسم الملف المطلوب للقيام بعملية Include أو تضمين للملف وتزيد خطورة عندما يقوم المستخدم بتضمين اسم الملف على متغير عام يظهر في URL وبالتالي يتمكن المستخدم العادي من تغيير مسار الملف إلى مسار ملف داخلي مثلا يحتوي على معلومات حساسة مثل كلمات المرور وغيرها ..