Recentelijk zijn 26.000 gehackte WordPress-websites gebruikt voor het uitvoeren van een grootschalige DDoS-aanval op een website. Dat meldt beveiligingsbedrijf Sucuri. Voor het uitvoeren van de aanval werd er van de pingback-feature van WordPress gebruik gemaakt.

In dit geval stuurt een WordPress-site een bericht naar een andere website. De DDoS-aanval vindt plaats op de applicatielaag en heeft daardoor minder bandbreedte nodig om een server plat te leggen dan bij een aanval op de netwerklaag, aldus Sucuri. Bij de DDoS-aanval op de niet nader genoemde website genereerden de gehackte WordPress-sites zo'n 10.000 https-verzoeken per seconde, met pieken van 20.000 https-verzoeken.

"Weinig servers kunnen een dergelijke belasting aan, zelfs bij gebruik van proxies en loadbalancers", zegt CTO Daniel Cid. Hij merkt op dat https-verzoeken daarbij ook meer rekenkracht van de server vereisen voor het opzetten van de versleutelde verbinding. Om zich tegen dergelijke aanvallen te beschermen krijgen WordPress-websites het advies om pingbacks van andere websites uit te schakelen. Hoe de WordPress-sites in kwestie werden gehackt is niet bekendgemaakt.