Un utente del server web è l'account del sistema operativo con cui viene eseguito un server web o un processo applicativo. Spesso è un account dedicato e non amministrativo, come www-data o apache, dotato delle autorizzazioni necessarie per fornire contenuti ed eseguire l'applicazione.
Questo account è importante perché una vulnerabilità che consente l'esecuzione di comandi tramite un'applicazione web può permettere a un aggressore di agire con i suoi privilegi. L'accesso che ne deriva dipende da ciò che l'account può leggere, modificare o avviare. In pratica, gli amministratori dovrebbero limitare le autorizzazioni dell'account su file e servizi, tenere i segreti al di fuori della sua portata ove possibile e monitorare la presenza di processi o modifiche imprevisti. Il principio del privilegio minimo può limitare i danni, ma non rende sicure le vulnerabilità di command injection.