Cez súbor xmlrpc.php, ktorý spravuje spätné odkazy medzi blogmi (trackback/pingback), sa dá pozorovať útok na webhostingu. Počet útokov môže byť aj viac ako milión v priebehu jedného dňa.

Jediným istým riešením je momentálne zmazanie súboru xmlrpc.php z adresára WordPress. Problémom však je, že sa súbor dostane naspäť na webhosting pri každej aktualizácii redakčného systému WordPress – takže tento súbor treba zmazať znova po každej aktualizácii!

O zraniteľnosti systému cez súbor xmlrpc.php vývojári WordPress vedia už dávno, ale napriek tomu nerobia nič pre to, aby sa to zmenilo. Príčina je jednoduchá: komunikácia medzi WordPress blogmi predtým znamenala dôležitú prednosť pre používateľov systému, pretože okamžite dostali oznam, ak sa na nich iný blog odvolával. To znamenalo na jednej strane uznanie a na druhej strane hodnotný prichádzajúci odkaz (lebo prichádzal z relevantnej webstránky). Takže sa to oplatilo používať nielen kvôli udržiavaniu kontaktu, ale aj kvôli optimalizácii pre vyhľadávače.

Vďaka tejto funkcii sa v komentároch publikoval automatický komentár s informáciami o tom, kto a kedy sa na daný článok odvolával. Samozrejme fungovalo to iba vtedy, ak autor článku na druhom blogu publikoval odkaz na našu webovú stránku.

V súčasnosti však už túto možnosť používa čoraz menej užívateľov, a keď sa vysvitlo, ako jednoducho sa dá cez túto funkciu dostať do WordPress, najprv začali týmto spôsobom na WordPress stránky útočiť hackeri, a neskôr aj roboty. Preto začalo byť čoraz viac užívateľov nespokojných a k stále väčšiemu počtu z nich sa dostávala informácia o tom, že proti útokom prichádzajúcim cez súbor xmlrpc.php sa dá brániť prakticky iba tak, ak funkciu trackback/pingback nepoužívame a súbor zmažeme z webhostingu.

Preto vám odporúčam, aby ste to urobili aj vy.