[laimas]

http://www.securitylab.ru/analytics/456285.php

сервер вряд ли вообще когда-либо выполнит код инъекции, если гениальный разработчик не подгрузит картинку функцией include и ей подобными

Картинка может быть только местом хранения, а как запустить, это уже иной вопрос.

https://xakep.ru/2013/07/17/60928/
https://xakep.ru/2012/10/01/php-vulnerabilities/
https://xakep.ru/2012/11/22/php-filter-wrapper-attacks/