¿Cómo asegurar el código PHP para cargar imágenes de avatar?

Puedo omitir un proceso de verificación de imagen de carga de avatar y cargar un archivo PHP o cualquier otra extensión que vincule una imagen jpeg válida.

Este es el código:

if ($image->valid()) {
            $mimeType = $image->mimeType();
            if ($mimeType !== 'image/jpeg' && $mimeType !== 'image/png') {
                return new DataResponse(
                    ['data' => ['message' => $this->l->t('Unknown filetype')]],
                    Http::STATUS_OK,
                    $headers
                );
            }

Por ejemplo:

1. descarga image1.jpg

2. como puede ver si abre el archivo image1.jpg en el bloc de notas, en este caso oculta el código PHP ( phpinfo(); .

3. renombra image1.jpg a image1.php, e intenta subirlo en la carga del avatar formar. Pasa la verificación.

¿Cómo asegurar este código?