Wordpress - Comment vous protéger de cette nouvelle méthode d'attaque par bruteforce ?

Si vous utilisez Wordpress pour votre site web, sachez qu’une nouvelle méthode d’attaque par bruteforce découverte au début du mois par la société Sucuri permet à un attaquant de tester de très nombreux identifiants et mots de passe avec une simple requête HTTP.

Avec une attaque classique, 1 requête = 1 tentative de login. Mais avec cette attaque qui exploite une faiblesse dans XML-RPC, 1 requête = x tentatives de login.

Cliquez sur le jeu de règles et bloquez la WP0018.

Autrement, il vous reste l’option “code” qui consiste à désactiver les appels à la méthode system.multicall en ajoutant ceci dans votre fichier functions.php, en attendant que Wordpress publie un patch.

function mmx_remove_xmlrpc_methods( $methods ) { unset( $methods[‘system.multicall’] ); return $methods; } add_filter( ‘xmlrpc_methods’, ‘mmx_remove_xmlrpc_methods’);

Ainsi vous serez protégé des scripts kiddies qui seraient tentés de s’en prendre à votre site. Pensez aussi à mettre un mot de passe un peu plus complexe qui sera difficile de casser avec un simple dictionnaire.