Шелл через загрузочную форму?
1. Запретить исполнение файлов в этой папке (отключить исполнение php и т.п.)
2. Проверять не только расширение но и mime-type
Тогда вы в безопасности ;)
Запретите выполнения скриптов в каталоге, в котором хранится *.pdf-ки
Для апача это сделать просто
.htaccessphp_flag engine 0
AddType "text/html" .php .cgi .pl .fcgi .fpl .phtml .shtml .php2 .php3 .php4 .php5 .asp .jsp