Ради интереса написал скрипт, который делает scandir() директории. В путь поставил
$path='../../../../';
и... получил список всех директорий клиентов моего хостера. Спортивного интереса ради пошоркался в них, поиспользовал
htmlspecialchars(file_get_contents($path));
где к $path добавлялся интересующий скрипт *.php.
Как результат - полный листинг скрипта. Зачем делал? Интересно, что там люди пишут. Пишут логины с пассворами к админкам, db логины и прочие интересные штуки.

Теперь вопрос - это у моего хостера руки с одного места растут, или это недостаток апача? Думал хостеру сначала позвонить, рассказать, но решил сначала сюда обратиться.

апач тут не причем. То, что у вам оказалось разрешено так делать - исключительно воля (или криворучие) хостера.
Кстати, посмотрю, что у меня творится. Если хотите себя оградить от таких любопытных как вы, сделайте chmod 700 на свою директорию
(Добавление)
хотя, если апач работает для всех под одним и тем же пользователем, тогда такое явление объяснимо - апачу разрешено лазить по всем директориям всех сайтов, расположенных на хостинге.

Кое что у вашего хостера растет не в тех местах. И с такими вопросами ни абы куда обращаются, а сразу к хостеру.