L'esecuzione PHP è l'interpretazione lato server del codice PHP da parte del server web o del runtime PHP. Quando un file con contenuto PHP viene collocato in una posizione eseguibile, il server non lo tratta come un semplice caricamento innocuo; esegue il codice. In termini di sicurezza, ciò significa che un aggressore può trasformare un file caricato in malware attivo, spesso una web shell che accetta comandi, modifica contenuti o ruba dati.
Questo è importante perché le vulnerabilità di caricamento dei file diventano molto più gravi quando i caricamenti finiscono in percorsi accessibili via web con PHP abilitato. Un semplice controllo del nome del file non basta se il server eseguirà comunque il file dopo il caricamento. I difensori riducono il rischio memorizzando i caricamenti fuori dalla web root, disabilitando l'esecuzione di script nelle directory di caricamento, imponendo una rigorosa convalida dei file lato server e consentendo solo i tipi di file realmente necessari a una funzione. Negli attacchi, l'esecuzione PHP è spesso il passaggio finale che trasforma un bug di caricamento in esecuzione di codice remoto.