changelog.txt удалять нужно только для того чтобы не видеть сообщение в админке. А по факту то скорее всего хостинг одновременно работает и на nginx и на apache. По факту статику обслуживает nginx а php apache. И получается так что доступ к файлам в core есть, но только для тех что указаны как статика.