и как только админ занесёт system() в disable_functions самый надёжный вариант превратится в самый нерабочий

не нужно его ничем шифровать, его не нужно даже хранить на сервере вовсе

на сервере должен быть маленький бекдор, который по щелчку пальца заливает полноценный wso для работы