Не совсем верно. В зависимости от версии, опций блога и настроек сервера, есть несколько вариаций для успешного выполнения кода. Для примера, советую ознакомиться с одним из таких вариантов: File Operation Induced Unserialization via the “phar://” Stream Wrapper.

Прошу прощения за нубский вопрос, в случае залития шелла, для каких целей используется доступ помимо SEO?