Weil da schon seit Jahren vor gewarnt wird und angreifbar ist.
Dies spielt jedoch nur für ganz externe Zugriffe via Web o.ä. eine Rolle.
Im Intranet ist das weniger gefährlich.

Außerdem erlaubt ja RUNRMTCMD sowie !syscmd via FTP den Aufruf aller möglichen Programme und Scripte.
Da ist ein Web-API (REST) schon sicherer, da diese eben genau für bestimmte Aufgaben (z.B. Query->Result) entwickelt werden (sollten) und keine Programmaufrufe ermöglichen sollten.