Você NÃO quer dar mais privilégios ao apache. Descubra o conjunto mínimo de diretórios para os quais o apache precisa de acesso de gravação, dê acesso a esses diretórios e tente limitar o que o apache está disposto a fazer com esses diretórios. Se é um diretório de imagens que você quer que o wordpress possa adicionar imagens, o servidor apache não deveria estar disposto a executar scripts php a partir daquele diretório, apenas servir imagens estáticas. Aqui está uma coisa que você quer evitar: de alguma forma, um malfeitor tem acesso a um login do wordpress, ele faz upload de algo que supostamente é uma imagem, mas na verdade é um script php. Você não quer que eles possam acessar o link e fazer com que o apache execute isso como um script php (porque agora eles carregam código arbitrário em seu servidor e fazem com que seu servidor execute esse código).
Se você está tentando decidir se os desenvolvedores devem ser adicionados ao grupo www-data ou vice-versa, pense desta maneira. Os desenvolvedores são as pessoas em quem você confia para executar o código em seu site. O grupo www-data é o privilégio dado às pessoas que descobrem uma maneira de explorar o buraco no wordpress / apache / qualquer outra coisa. Você não quer dar a essas pessoas o acesso que você dá a um desenvolvedor confiável. Você não deve ter problemas em fornecer ao seu desenvolvedor confiável os direitos que você está disposto a dar a alguém que tenha comprometido sua instalação do wordpress. Portanto, adicione desenvolvedores ao www-data, mas não adicione www-data aos desenvolvedores.