Ich habe ja keine Ahnung, wie man von außen eine Internetseite auf dem Server hackt.
Wenn man das auf eine AS/400 legt kann das wohl auch passieren, insbesonders wenn man Scriptsprachen verwendet oder dynamischen Code erstellt. Wie sicher diesbezüglich PHP auf AS/400 ist weiß ich nicht, aber mit Java/CGI's wird es solche Probleme eher selten geben.
Vorausgesetzt man hat sein IFS vernünftig geschützt und berechtigt.