WordPress XML-RPC-Endpunkt ist aktiv

Was es ist

/xmlrpc.php ist ein alter WordPress-Endpunkt für das Remote-Publizieren (Windows Live Writer, Jetpack, mobile WP-Apps). Im Jahr 2026 nutzen ihn 99 % der Websites nicht mehr — WordPress kommuniziert heute über die REST API. Der Endpunkt ist jedoch nach wie vor standardmäßig aktiv, sodass er öffentlich erreichbar ist, solange Sie ihn nicht ausdrücklich deaktivieren.

Warum das ein Problem ist

XML-RPC birgt zwei konkrete Risiken:

• Brute-Force-Amplifikation. Die Methode system.multicall kann in einer einzigen HTTP-Anfrage Dutzende bis Hunderte Kombinationen aus Benutzername und Passwort durchprobieren. Der Angreifer umgeht damit fail2ban und Rate-Limits, denn aus Sicht des Servers sieht dieser nur eine einzige Anfrage statt 200.
• DDoS-Pingback-Amplifikation. Die Methode pingback.ping zwingt Ihr WordPress dazu, eine HTTP-Anfrage an eine beliebige URL zu senden — der Angreifer kann über Sie einen DDoS gegen einen Dritten versuchen.

So beheben Sie es

Weg 1 — per Filter deaktivieren (schnell)

In die functions.php oder in ein site-spezifisches Plugin:

add_filter('xmlrpc_enabled', '__return_false');

Damit wird die XML-RPC-Authentifizierung deaktiviert. Der Endpunkt antwortet weiterhin, aber sowohl Brute-Force- als auch Pingback-Angriffe schlagen fehl.

Weg 2 — auf Webserver-Ebene blockieren (besser)

nginx:

location = /xmlrpc.php {
    deny all;
    return 403;
}

Apache (.htaccess):

<Files xmlrpc.php>
    Require all denied
</Files>

Damit erhält WordPress die Anfrage überhaupt nicht — geringere Last, keine PHP-Ausführung, besser skalierbar.

Weg 3 — Plugin

Wenn Sie sich beim Bearbeiten von Konfigurationsdateien unsicher fühlen, deaktiviert das Plugin Disable XML-RPC die Funktion mit einem Klick.

Überprüfung

curl -I https://example.cz/xmlrpc.php
# sollte 403 (Weg 2) oder 405 Method Not Allowed (Weg 1) zurückgeben

Was schiefgehen kann

Wenn Sie eine mobile WP-App oder Jetpack im „classic“-Modus verwenden, verlieren Sie das Remote-Publizieren. Jetpack verfügt seit 2018 über einen Fallback auf die REST API, sodass es in den meisten Fällen niemandem auffällt.

Referenzen

• WordPress REST API (moderne Alternative)