НЕ позволяйте запускать привилегированные команды, если вы открыты для доступа к Интернету www-data. Это способ искать проблемы.
Вы можете использовать URL-стук для таких вещей. Вы можете создать секретный URL и на сервере постоянно следить за изменениями в файле журнала apache tail -f, который не загружает сервер, поскольку он использовал функцию inotify ядра . Таким образом, когда вы вызываете ваш секретный URL, скрипт (независимо от того, является ли он оболочкой, python и т. Д.), Который запускается под привилегированной учетной записью, будет запускать одну конкретную задачу. Таким образом, в основном это своего рода IPC между непривилегированным пользователем и операциями, которые должны выполняться с наивысшими (корневыми?) Привилегиями. Вы должны внедрить некоторый механизм аутентификации для защиты этого секретного URL, чтобы избежать DDoS. Кроме того, если бы вы использовали HTTPS для таких вещей, тогда ваш секретный URL не был бы открыт для посредников .