Una runtime copy è la versione di uno script o di una pagina web che esiste in memoria mentre un server elabora una richiesta. È la copia attiva che il server web o l'applicazione esegue effettivamente e invia al client, e può differire dal file memorizzato su disco.
Questo è importante perché gli attaccanti possono manomettere la runtime copy senza modificare visibilmente il file sottostante. In caso di compromissione di una web shell o di un appliance, ciò può consentire al codice malevolo di alterare le risposte, acquisire credenziali o eseguire comandi mentre le scansioni basate sui file continuano a sembrare pulite. I difensori dovrebbero verificare il contenuto servito, non solo quello memorizzato, usando il confronto delle risposte, controlli di integrità sul percorso della richiesta e il monitoraggio di comportamenti lato server inattesi. Nei sistemi che generano pagine con PHP o codice simile, la runtime copy fa parte della superficie di attacco e deve essere trattata come logica sensibile alla sicurezza.