Hi!
ich weiß nicht, wie die Default-Konfiguration von XAMPP das macht. Aber man kann den Apachen so einrichten, dass er nur auf Anfragen von localhost reagiert.
Die aktuell gezogene Version hat da nur ein Listen 80 konfiguriert, lauscht also auf allen Netzwerkinterfaces.
Zusätzlich hast du bestimmt noch einen kleinen Router zwischen dem PC und dem Internet. Der blockt Anfragen "von draußen" auch noch ab, solange er nicht explizit eine Anweisung bekommt, bestimmte Pakete an einen der internen Hosts weiterzuleiten (Port Forwarding Rule).
WLAN ist auch ein beliebtes Einfallstor, aber wenn das nicht abgesichert ist, oder die Rechner im internen Netz selbst, braucht es auch den XAMPP nicht, um Angriffspunkte zu liefern.
Lo!