[Per]

Har du tittat på safe_mode, open_basedir etc?

Jag vet inte hur IIS fungerar men i Apache finns det möjligheter att göra så att script exekveras med en viss användare för vissa kunder, för att eleminera säkerhetsproblematiken (till viss del, åtminstone).