Достоинство WordPress обернулось средством организации DDoS-атаки

Популярная система управления контентом вебсайтов WordPress содержит уязвимость, которая может быть использована для организации DDoS-атак. Речь идет о протоколе вызова удаленных процедур XML-RPC, функциональность которого по умолчанию включена в WordPress.

Как сообщает компания Sucuri, специализирующаяся на обеспечении кибербезопасности, протокол XML-RPC был использован для организации DDoS-атаки на вебсайт одного из клиентов компании. В атаке приняли участие порядка 162 тысяч вполне легитимных сайтов на платформе WordPress, и в результате сайт жертвы был на много часов выведен из строя.

Представители Sucuri не назвали имени пострадавшего сайта, отметив лишь, что в атаке участвовали сайты со всего мира, однако большинство из них представляли США. Также, комментируя инцидент, технический директор компании Дэниел Сид отметил в блоге, что проблема, ставшая причиной атаки, известна специалистам достаточно давно, однако вряд ли может быть решена. Дело в том, что использование XML-RPC в равной степени можно считать и уязвимостью, и достоинством WordPress, обеспечивающим работу множества полезных функций, включая, например, удаленный доступ с мобильных устройств. Трудно ожидать, что WordPress пойдет на снижение собственной функциональности ради повышения безопасности. Сид опубликовал в блоге рекомендации по отключению протокола XML-RPC, к которым владельцам сайтов следует прибегнуть в случае начала DDoS-атаки.