И да го ограничиш до дадена папка, той винаги може да качи един шел и да има достъп и до другите сайтове
Не винаги може да се придобие достъп. Php и cgi шеловете се блокират лесно ако на сисадмина му се занимава с mod_security или който и да е web application firewall. Ако всичките дайтове не се намират в public_html лесно можеш да създадеш такъв потребител от cpanel.