Siden XMLRPC utgjør en sikkerhetsrisiko blir det skrudd av som standard på alle
nye WordPress-installasjoner. Du kan se status for din
WordPress-installasjon i Kontrollpanelet.
Hva er xmlrpc.php?
Litt enkelt sagt inneholder xmlrpc.php WordPress sitt API; XMLRPC. Dette gir muligheter til å utføre endringer på nettsiden din ved hjelp av f.eks. en app på mobilen din. Noen plugins, blant annet JetPack, trenger XMLRPC for å fungere.
XMLRPC utgjør en sikkerhetsrisiko!
XMLRPC er en av de aller mest benyttede angrepsvektorene, og brukes til å utføre angrep som:
- Bruteforce. Forsøk på å gjette brukernavn og passord ved hjelp av ordlister og ordliste-kombinasjoner. Ved hjelp av XMLRPC kan en angriper teste hundretusenvis av kombinasjoner ved en enkelt kommando, og enkelt omgå ordinære forsvarsmekanismer.
- DDoS (Distributed Denial of Service). Ved å sende pingback i WordPress til tusenvis av ulike nettsteder samtidig. Denne egenskapen av xlmrpc.php gir angripere adgang til nærmest et uendelig antall IP-adresser til å distribuere et angrep.
Disable XMLRPC!
I de aller fleste tilfeller er ikke XMLRPC i bruk, og du bør (skal) skru det av. Du kan med fordel skru av XMLRPC i Kontrollpanelet i stedet for å installere en plugin! Da stopper vi trafikken før den treffer webserveren i det hele tatt.
Hvis du har plugins som bruker XMLRPC bør du vurdere alternativer. JetPack gjør uansett sidene dine tregere, og sannsynligvis er det bare et par av egenskapene som er i bruk, og som med fordel kan byttes ut med andre plugins.
Dersom du MÅ bruke XMLRPC bør du i alle fall skru av pingback hvis du ikke har en blogg som bruker dette aktivt:
https://wordpress.org/plugins/search/disable+pingback/