Hacker nutzten die Pingback-Funktion von mehr als 162.000 WordPress-Seiten, um eine Distributed Denial-of-Service-Attacke gegen eine andere Webseite zu starten. Normalerweise lässt die Funktion die Seitenbetreiber lediglich wissen, wann andere Seiten auf ihren Inhalt verlinken.

Diese Funktion ist voreingestellt, kann aber abgestellt werden. Dazu müssen bei neuen Beiträgen zwei Häkchen entfernt werden. Dies verhindert allerdings nur das Pingback von diesen neuen Beiträgen. Bereits veröffentlichte Beiträge sind weiterhin anfällig.

Oder man installiert ein Plugin. Vertraut man den Plugins externer Anbieter nicht und möchte lieber sein eigenes installieren, empfiehlt sich die Einbindung eines Codes.

Die Cloud-Sicherheitsfirma Sucuri warnt, dass jede WordPress-Seite mit aktiviertem Pingback für DDoS-Angriffe missbraucht werden kann. Die Angreifer kann tausende beliebter und populärer WordPress-Seiten für die Attacke nutzen und sich dabei immer bedeckt halten.

Eine andere Sicherheitsmaßnahme ist das regelmäßige Aktualisieren der Software. Viele WordPress-Nutzer verwenden alte Versionen. Das Problem ist seit 2007 bekannt, im Januar 2013 veröffentlichte WordPress eine Version, die es beheben sollte. Die 3.5.1 Version von WordPress hilft also bereits, dieses Problem zu umgehen.

„Dies ist ein Vorzeige-Beispiel dafür, dass Nutzer ihre Software und Webseiten nicht regelmäßig aktualisieren. Denn würden sie es tun, sähen wir keine DDoS-Attacken mehr, die von veralteten Webseiten mit den alten Sicherheitslücken profitieren.“

Artikel in theregister.co.uk, 12.03.2014: MUM’s WordPress recipe blog USED AS ZOMBIE in DDoS attacks
Artikel in krebsonsecurity.com, 13.03.2014: Blogs of War: Don’t Be Cannon Fodder