Beim Deaktivieren von Bildern und möglicherweise auch Medien sollten Thumbnail und Bilddatei unlesbar gemacht werden (chmod 000). Da die PHP-Scripte unter wwwrun-Rechten laufen, kann chmod 600 nicht helfen.

Haken: Dann kann auch kein Admin das Ding mehr sehen - und das sollten wir können (Rechtsverstöße und so).

Abhilfen:
Variante 1: verschieben der Sachen in ein Quarantäneverzeichnis, und Geheimhaltung des Pfades. Haken: Soetwas tendiert zu Lecks.
Variante 2: Zum Anzeigen solcher Medien ein Script, das kurzfristig chmod 400 macht, die Datei öffnet, chmod 000, und dann den Inhalt mit passendem Content-Type herausschickt. Haken: Ein minimales Fenster, in dem die Datei für alle lesbar ist.