Всё зависит от настроек php, веб-сервера и операционной системы.

встречал сервера с вайт листами, если файл отсутствует в списке разрешенных, то он не исполняется, но это уже единичные случаи.

И опять же, что касается твоего случая, в твоем случае apache запущен от юзера www-data, и скрипт с шеллом создан от этого же юзера, соответственно, независимо от прав, этот скрипт будет работать в пределах этого юзера. Создай скрипт от другого пользователя, и дай ему 0400, и система будет вежлево посылать.