Ca se voit que tu prends même pas la peine de regarder
 
IIS 6.0 : 3 vulnérabilités depuis sa sortie (2003) et 0 non patchées : http://secunia.com/product/1438/?task=statistics
Apache 2.2 : 7 vulnérabilités depuis sa sortie (2006 soit 3 ans plus tard) et 29% non patchées : http://secunia.com/product/9633/?task=statistics
 
Après non il n'y a pas de chroot/jail au même sens unix mais tu peux faire des applications pool pour isoler tes différents sites et faire tourner leur code sous des users distincts. Après à toi de mettre les ACL sur ton système pour sécuriser ça. Après c'est sûr que c'est chiant mais ça l'est dès qu'on fait du chroot de toute façon.