Bei Programmiersprachen sollte man immer wie beim Schachspiel vorausschauend agieren. Genauso ist es, wenn man mit Websprachen wie PHP arbeitet und die Sicherheit im Auge behalten muss. Wenn man nämlich

<?php echo $_SERVER['PHP_SELF']; ?>

in seinen Verweisen (Links) anwendet,

<form action="<?php echo $_SERVER['PHP_SELF']; ?>" method="post">
 <input type="text" name="search">
 <input type="submit" value="Suchen">
</form>

dann kann das schnell mal zu XSS hinauslaufen (bzw man öffnet bösen Menschen Tür und Tor für die Einbindung von schadhaftem Code, wodurch man z.B. Datenbanken ausspionieren kann).

Lösung bei der Sache wäre der Umstieg auf

$_SERVER['SCRIPT_NAME']

[EDIT:] interessant dazu auch die verschiedenen Arten und Weisen den Pfad des aktuellen Skriptes zu erhalten.