Если не используется xmlrpc.php, который отвечает за API движка, то лучше его выключить: в корне в файле .htaccess добавляем в конце: <Files xmlrpc.php> Order Deny,Allow Deny from all </Files>...