CGI здесь не при чём.

Судя по всему дело в Apache 1.3, в частности в модуле реврайта. Неправильная обработка пути приводит к подобному.

Похожая ситуация: http://www.securityfocus.com/archive/1/archive/1/443870/100/0/threaded

Дополнение: http://www.devshed.com/c/a/apache/common-attacks-in-apache/