Un tema inattivo è un tema WordPress installato su disco ma non attualmente abilitato sul sito. Può comunque includere template, file PHP, risorse e codice di configurazione, anche se i visitatori non lo stanno usando per il front end in produzione. In WordPress, “inattivo” non significa “assente”; significa solo che il tema non è quello che sta servendo le pagine in questo momento.
I temi inattivi sono importanti perché gli attaccanti possono comunque prendere di mira i file che contengono. Se un tema vulnerabile rimane sul server, il suo codice può essere raggiungibile tramite falle di anteprima, installazione, aggiornamento, backup o inclusione di file, anche prima dell'attivazione. I difensori dovrebbero considerare i temi inattivi parte della superficie di attacco: rimuovere quelli non necessari, mantenere corretti con patch gli altri e verificare il contenuto di wp-content/themes/ per individuare modifiche inattese. Ridurre il codice inutilizzato abbassa la probabilità che un tema dormiente diventi un percorso per l'esecuzione lato server.