Enviar correo de activación al usuario cuando se crea programáticamente

Para completar el proceso de activación de usuarios necesitas seguir estos pasos:

1. Después de crear un nuevo usuario, añade un campo personalizado que indique que este usuario debe activar su cuenta
2. Envía un correo electrónico con el código de activación, incluyendo un enlace en este correo a una página donde el usuario será activado
3. Implementa la página de activación
4. Cuando un usuario intente iniciar sesión, verifica si existe ese campo personalizado. Si existe, no permitas el acceso y muestra un mensaje de error de activación.

Añadir campo personalizado y enviar correo:

function _new_user($data) {

    // Separar Datos
    $default_newuser = array(
        'user_pass' =>  wp_hash_password( $data['user_pass']),
        'user_login' => $data['user_login'],
        'user_email' => $data['user_email'],
        'first_name' => $data['first_name'],
        'last_name' => $data['last_name'],
        'role' => 'pending'
    );

    $user_id = wp_insert_user($default_newuser);
    if ( $user_id && !is_wp_error( $user_id ) ) {
        $code = sha1( $user_id . time() );
        $activation_link = add_query_arg( array( 'key' => $code, 'user' => $user_id ), get_permalink( /* TU ID DE PÁGINA DE ACTIVACIÓN AQUÍ */ ));
        add_user_meta( $user_id, 'has_to_be_activated', $code, true );
        wp_mail( $data['user_email'], 'ASUNTO DE ACTIVACIÓN', 'FELICIDADES BLA BLA BLA. AQUÍ ESTÁ TU ENLACE DE ACTIVACIÓN: ' . $activation_link );
    }
}

Verificar activación de usuario al iniciar sesión:

// sobreescribir función core
if ( !function_exists('wp_authenticate') ) :
function wp_authenticate($username, $password) {
    $username = sanitize_user($username);
    $password = trim($password);

    $user = apply_filters('authenticate', null, $username, $password);

    if ( $user == null ) {
        // TODO ¿cuál debería ser el mensaje de error? (¿O esto siquiera ocurriría?)
        // Solo necesario si todos los manejadores de autenticación fallan en devolver algo.
        $user = new WP_Error('authentication_failed', __('<strong>ERROR</strong>: Usuario inválido o contraseña incorrecta.'));
    } elseif ( get_user_meta( $user->ID, 'has_to_be_activated', true ) != false ) {
        $user = new WP_Error('activation_failed', __('<strong>ERROR</strong>: El usuario no está activado.'));
    }

    $ignore_codes = array('empty_username', 'empty_password');

    if (is_wp_error($user) && !in_array($user->get_error_code(), $ignore_codes) ) {
        do_action('wp_login_failed', $username);
    }

    return $user;
}
endif;

Página de activación:

add_action( 'template_redirect', 'wpse8170_activate_user' );
function wpse8170_activate_user() {
    if ( is_page() && get_the_ID() == /* TU ID DE PÁGINA DE ACTIVACIÓN AQUÍ */ ) {
        $user_id = filter_input( INPUT_GET, 'user', FILTER_VALIDATE_INT, array( 'options' => array( 'min_range' => 1 ) ) );
        if ( $user_id ) {
            // obtener campo meta de hash de activación del usuario
            $code = get_user_meta( $user_id, 'has_to_be_activated', true );
            if ( $code == filter_input( INPUT_GET, 'key' ) ) {
                delete_user_meta( $user_id, 'has_to_be_activated' );
            }
        }
    }
}

Este es tu punto de partida, adelante y ajústalo según tus necesidades.