Трагедия не приходит одна

[Bo0oM]

*всматривается в аватарку автора*

[Andrey_Rogovsky]

А защита только одна — выделить для аплоада отдельный тазик, можно — виртуальный.

[d4d]

Действительно, самым эффективным способом защиты является изоляция программного обеспечения, отвечающего за обработку непроверенных пользовательских данных. Есть хорошая статья, в которой описаны способы защиты ImageMagick:

• Отказ от использования IM и переход на прямое использование библиотек libpng, libjpeg-turbo, и giflib;
• Ограничение используемых кодеков средствами псевдо-протоколов convert [...other params...] -- jpg:input-file.jpg jpg:output-file.jpg с поддержкой только необходимого набора кодеков JPEG, PNG и GIF.
• Изоляция кода с помощью seccomp-bpf или эквивалентного механизма, который надежно ограничивает доступ к системным вызовам.
  Все выше сказанное применимо и для GraphicsMagick.