Тут идет проверка на расширение, но не на содержимое, шелл можно залить как файл под любым из указаных расширений, но интерпретироваться не будет если рание расширение не указано в .htaccess как выполнение под нужным интерпритатором, например PHP, но если есть локальный инклуд, то выполнить можно!