Der Webserver führt das Skript aus - unter dem User wwwrun. Immer, egal welche Eigentumsrechte die Datei hat (außer es ist so restriktiv das der httpd dies nicht kann). Die Lösung hast du ja bereits aufgezeigt. Es gibt noch eine andere von der aus Sicherheitsgründen abzuraten ist (sticky-bit).