Добрый день.

Думаю, что причина в том, что в Unix имена файлов регистро-зависимы (по-умолчанию), а в Windows имена файлов регистро-независимы.

Например:
Filename и filename для Unix 2 разных файла, для Windows один файл.

Смотря, что вы имеете ввиду под "юзер не мог залезть в core?"

Если вы хотите закрыть core от доступа по http, то нужно использовать инструменты веб-сервера: .htaccess для apache или allow/deny для nginx.

Если же речь идет про доступ из файловой системы, то нужно понимать для чего и кем используется каталог core. Закрыть его можно правильно выставленными пермиссиями.