El motor mira ruta, extensión y un sniff corto. Si un fichero bajo uploads parece PHP, el informe lleva php_in_uploads. El peso es alto porque esa ruta es para media.
No se borra nada. Un job de cuarentena puede copiar, verificar SHA-256 y quitar, pero solo con Apply. El hardening puede impedir que ahí se sirva PHP.
Relacionado: landing de detección, limpieza.