¿Se podría crear un sitio web vulnerable a propósito para atacar un servidor de un proveedor de alojamiento?

No necesitaría el sitio web vulnerable si ya tiene una cuenta en el alojamiento compartido. Lo que necesitas es la ejecución del código en el host. Una vulnerabilidad de ejecución remota de código en uno de los sitios web alojados te da eso, seguro. Pero si ya tienes tu propia cuenta, ¿por qué no simplemente subes el código que quieras ejecutar?

Supongo que instalar una aplicación vulnerable podría ser una forma de intentar evitar ser responsable del ataque ("no fui yo, fui hackeado"). Pero no es estrictamente necesario.

Las empresas que ofrecen alojamiento compartido deben intentar segregar las diferentes cuentas lo más posible. Esto no siempre es algo fácil de hacer. Las vulnerabilidades en las configuraciones erróneas del sistema operativo o del servidor se pueden aprovechar para obtener acceso a otras cuentas. Un buen proveedor de alojamiento podría dificultar tales ataques manteniendo el software actualizado y configurando las cosas correctamente. Pero lo barato rara vez es bueno, y el alojamiento compartido a menudo es barato.

Tener una vulnerabilidad sugiere una debilidad que sería explotada por un atacante, que no es realmente el caso cuando el atacante ya tiene acceso al sistema (el proveedor de alojamiento).

Lo que parece estar preguntando es la posibilidad de explotar a otros inquilinos en los sistemas, que es una pregunta demasiado grande para responder en uno, y depende de la forma en que se comparten los recursos en el servidor.