Un must-use plugin, spesso chiamato mu-plugin, è un plugin di WordPress memorizzato in una directory speciale e caricato automaticamente a ogni richiesta. A differenza dei plugin normali, non appare nel flusso standard di attivazione ed è in genere sempre attivo, a meno che un difensore non rimuova il file dal disco.
Questo rende i mu-plugin utili per funzioni legittime estese a tutto il sito, ma anche attraenti per gli aggressori che vogliono persistenza. Un mu-plugin malevolo può eseguire prima o insieme al codice normale del sito, nascondersi dai controlli di routine della dashboard e continuare a funzionare anche se gli amministratori esaminano la consueta schermata Plugin. Nelle difese reali, cercare file inattesi nella directory mu-plugins, confrontarli con una baseline del filesystem e analizzare il comportamento del web server può aiutare a individuare l'abuso di questo meccanismo affidabile di WordPress.