Вячеслав:
если поиск был относительным glob('[0-9]+.txt') - вернёт '0.txt', '5.txt';
если поиск был абсолютным glob('/var/www/*.txt') - вернёт '/var/www/0.txt', '/var/www/5.txt';
В целях безопасности веб сервер должен работать от непривелегированного пользователя в изолированном окружении (а еще лучше - в контейнере). Хотя в данном случае удобнее, конечно, использовать функцию glob(), пример которой вы привели выше.