Đối với Apache, chèn vào .htaccess
# Block WordPress xmlrpc.php requests

order deny
deny from all

Đối với NGINX thì bỏ vào tập tin cấu hình domain:
location = /xmlrpc.php {
deny all;
access_log off;
log_not_found off;
}