ну, адрес вида http://www.example.com/cron.php
поскольку запуск этого скрипта выполняет кучу задач по-расписанию, и не дает никакой полезной информации посетителям, cron.php должен запускаться только с локалхоста.
Защищается правилами apache ( A.B.C.D адрес сервера - можно добавить в .htaccess )
Странно, что этого нет в дефолтной инсталляции

дыра, ибо повышенную бесполезную нагрузку создает

надо через cron.php проверять - почему то большинство сайтов эту дыру не закрывают