O risco é de desligar o computador. E é justamente isso que ele precisa. Quando você executa php pela linha de comando, o processo roda sob o usuário que fez a requisição, se for pela web, sempre vai ser o usuário do apache (wwrun, nobody...) Ou seja, pela linha de comando o teu script vai fazer o que o usuário que executa ele tem permissão.