У функции mail() ещё есть пятый аргумент в котором указываются опции sendmail. С помощью этих опций тоже можно выполнить команду. Но тут всё зависит от реализации sendmail. На одном сервере она может предоставляться через postfix, на другом через exim. Сам этот метод ещё не пробовал, но видел статью в котором о нём рассказывается.

.SpoilerTarget" type="button">Spoiler: Оффтоп
Вообще через пятый аргумент mail() можно много чего наделать: https://www.saotn.org/exploit-phps-m...ode-execution/