Достаточно известный способ выполнить команды там, где нельзя, но очень хочется =)
При использовании /e(~e) модификатора в регулярке - пхп код, содержащийся во втором аргументе, выполнится...
....
Однако, даже если модификатор /e отсутствует - мы при возможности можем внедрить его, обрубив регулярку NULL-байтом.