L’attivazione del plugin è il momento in cui un plugin WordPress viene abilitato e il suo codice può essere eseguito all’interno del sito. A seconda del plugin, il codice può essere eseguito durante le richieste delle pagine, le operazioni amministrative o le attività pianificate. La sola installazione di un plugin non significa sempre che le sue funzionalità siano in esecuzione; l’attivazione le rende disponibili sul sito.
L’attivazione è importante per la sicurezza perché il codice dei plugin opera in genere con i privilegi concessi all’installazione di WordPress. Un plugin dannoso o vulnerabile potrebbe quindi essere in grado di modificare file o contenuti del database, creare account non autorizzati o effettuare richieste di rete. In un incidente della catena di approvvigionamento del software, attivare un pacchetto manomesso può trasformare un problema di distribuzione in una compromissione attiva del sito. Disabilitare o sostituire il plugin ne interrompe la normale esecuzione, ma non dimostra che le modifiche apportate mentre era attivo siano state rimosse; è quindi opportuno esaminare i file interessati, gli account, le attività pianificate e i log.