TU Chemnitz: URZ: WWW: PHP: Datei-Upload - Hier findest du direkt auch noch ein paar Sicherheitsaspekte. Das Script ist nicht sonderlich sicher, es reicht eben nicht nur die Endung zu
prüfen, sondern auch den Mime-Typ
PHP: finfo_file - Manual
Der Mime-Typ von pdf Dateien ist üblicherweise application/pdf
Die ersten Zeichen einer PDF-Datei sind zudem %PDF- hier kommt dann üblicherweise noch die VersionsNr. also z.B. %PDF-1.7
Der Upload an sich ist also das kleinste Problem, dein größtes Problem ist der Sicherheitsaspekt.