Una backdoor PHP è uno script malevolo scritto in PHP che un attaccante inserisce in un server web per mantenere l'accesso non autorizzato dopo l'intrusione iniziale. Poiché PHP viene eseguito su molti siti web e applicazioni web, una backdoor può confondersi tra i normali file del sito mentre accetta silenziosamente comandi, crea nuovi utenti amministratori, ruba dati o lancia ulteriori attacchi.
Le backdoor sono importanti perché forniscono persistenza. Anche se la vulnerabilità originale viene corretta, l'attaccante può comunque tornare attraverso lo script nascosto. In incidenti reali, le backdoor vengono spesso caricate tramite falle di upload di file, credenziali rubate, plugin vulnerabili o pannelli amministrativi compromessi. I difensori cercano file PHP sospetti nelle directory web, modifiche inattese ai timestamp o ai permessi, insolite attività di rete in uscita e richieste verso nomi di file insoliti. Bloccare l'esecuzione di PHP nelle cartelle di upload, limitare l'accesso in scrittura e analizzare comportamenti simili a webshell aiuta a ridurre la possibilità che un semplice caricamento si trasformi in una compromissione duratura.