2026 年的 WordPress 登录攻击，样貌已与 2020 年不同。一些旧手法依然存在，新的手法也不断涌现。了解当下都有哪些攻击在流传，是防御的第一步。本指南梳理你在 2026 年真正会面对的几类攻击。
暴力破解攻击
针对 /wp-login.php 自动尝试各种密码组合。这种攻击在 2010 年还很简单，如今则被分散到成千上万个僵尸网络 IP 上，以规避按 IP 的频率限制。对于密码薄弱、又没有锁定机制的网站，它依旧奏效。
防御要多管齐下：隐藏登录网址、在多次失败后锁定、强制使用强密码。
撞库攻击（Credential stuffing）
攻击者拿从其他数据泄露事件中流出的用户名和密码组合，来攻击你的登录页面。只要某个用户在你的网站上重用了曾在别处泄露过的密码，这组凭据就能得手，根本不需要任何巧妙的猜测。
双因素认证（2FA）是唯一彻底的防御。只要泄露的密码是对的，撞库就会成功。
用户名枚举
攻击者利用 WordPress 登录表单的响应或 REST API 端点，枚举出有效的用户名。知道了用户名，暴力破解或撞库就会更快。Defyn Security Manager 会封堵这两条枚举途径。
Defyn Security Manager 插件封闭了这一枚举渠道，正是它让攻击者得以缩小要攻击的用户名范围。
滥用 XML-RPC 与 REST API
较旧的 WordPress 版本允许通过 XML-RPC 进行无限次登录尝试，从而绕过网页登录的频率限制。现代的安全加固会彻底封禁 XML-RPC，或为其加上频率限制。REST API 也存在类似的隐患。
除非你有特定需求，否则请把两者都关闭。
定向钓鱼
攻击者向管理员发送极具迷惑性的邮件，诱骗他们在一个假冒的登录页面上输入凭据，随后再拿这些凭据去攻击真正的登录入口。即便其他防御都做到完美，钓鱼依然可能得手。
这时 2FA 仍是最后一道防线。缺了第二重因素，哪怕密码被盗也无法登录。
没有哪种登录攻击只靠单一手法，因此你的防御也不该如此。把强密码、2FA、锁定机制，以及对 XML-RPC 和 REST API 的加固结合起来，就能挡下其中绝大多数。如果你希望有人来检查你网站登录环节的安全状况并加以强化，Defyn 可以帮到你。
常见问题
2026 年最常见的 WordPress 登录攻击是哪一种？
暴力破解和撞库并列第一，两者合计占了 WordPress 登录攻击的大多数。
这些攻击复杂吗？
不复杂。它们是自动化的、粗暴的，真正精巧的很少见。问题在于数量。
频率限制能挡住一切吗？
不能。分散式僵尸网络能绕过按 IP 的频率限制。分层防御必不可少。
我怎么判断自己正在遭受攻击？
审计日志中失败登录尝试骤增；突然出现的账户锁定；不断有新的 IP 反复访问你的登录页面。
