Если в php есть backdoor то без труда вам выше показали как, а какая cms это уже дело техники, в истории joomla были такие уязвимости, да и в истории других cms тоже все они фиксятся со временем, ваша задача как разработчика вовремя обновлять cms и прикрывать backdoor если атаку на сервер уже совершили