oui, mais pas toujours.
- mauvaise config d'apache
- par un autre fichier que ceux se trouvant dans ce répertoire (include)
- version buggée d'apache (?)
- sniffing des infos passant sur ton site (hum là c'est plus dur...), mais les login/pwd passent en clair, donc rien n'est impossible.
c'est koi ton site ?