Du sprichst von vier Dateien, hast aber nur drei präsentiert!

Der Server sollte so konfiguriert sein, dass er im cgi-bin Verzeichnis nur ausführbare Dateien startet.

Der Server hat auf Dateiebene bestimmte Rechte. Ein Besucher kann nur indirekt über den Webserver zugreifen, hat also die "gleichen" Rechte wie der Webserver.

Was Hacker noch hinkriegen, weiß ich leider nicht.