vlakis

vlakis, обратитесь к вашему хостеру.
Опишите ситуацию, мол так и так, надо запретить выполнение php файлов в папке upload. Пробую такие и такие варианты. Не получается, скрипты все равно выполняются. Как быть?

а понял они закоментены

Нет второй вариант у вас не закоментен… в него и добавьте .xml

Но можете попробовать раскоментить первый

 
# php_flag engine 0
# AddType "text/html" .php .cgi .pl .fcgi .fpl .phtml .shtml .php2 .php3 .php4 .php5 .asp .jsp
# RemoveType php
 

и в него тоже добавить .xml (вот это точно не знаю надо ли, но хуже наверное не будет....)

А второй закоментить:

 
RemoveHandler .phtml .php .php3 .php4 .php5 .php6 .phps .cgi .exe .pl .asp .aspx .shtml .shtm .fcgi .fpl .jsp .htm .html .wml
AddType application/x-httpd-php-source .phtml .php .php3 .php4 .php5 .php6 .phps .cgi .pl .asp .aspx .shtml .shtm .fcgi .fpl .jsp .htm .html .wml