> Наоборот, нужно убрать саму disabled_functions, которая может приподнести неожиданный
> сюрприз,

сюрпризов не будет если уважать хост на котором прикрутили гайки, а проверять (всего в 3 строки), что можно а что нет:

function system_enabled() {
  return !in_array('system', explode(',', ini_get('disable_functions')));
}

а вот запрет выполнения eval-a, это уже защита хоста, на вскидку процентов 75 как минимум

> например невозможность установить права на выгруженный файл

может все таки лучше уважать права сервера и пользоваться тем что позволят ?

> или проверить состояние демона через system!

проверять состояние демонов - это обязанность админов и их софта который смотрит за системой.

Почему так всем хочется Windows 98, - пиши куда хошь, читай все что хошь.

PHP - интернет facing язык и конфигураця настройки должна быть максимально драконовской, зная что масса высоко квалифицированных хакеров иследуют лакомый кусок ака PHP, тогда и не будет репутации дырявого языка, а точнее дырявых PHP программеров.

чем попасть в новости с очередной дырой и ликом, не проще наследовать тот же принцип, что и в операционной системе, - исполняемый PHP код только на чтение - 755 && ownership root:root. А там куда PHP позволенно писать, - просто запрещать выполнение php кода.
В такой настройке даже самые старые версии пыха выдерживают атаки.