# Qué CMS y sistemas de tienda funcionan con PHP > Qué CMS y sistemas de tienda funcionan con PHP: WordPress, TYPO3, Shopware, Joomla, Drupal y otros de un vistazo, con una forma de comprobar sus propios sitios web. Fuente: https://phpsos.de/es/php/cms-und-shops-auf-php/ Actualizado: 25/10/2026 Proveedor: PHP SOS, Ayuda de emergencia para PHP y seguridad de servidores. Ayuda inmediata por WhatsApp: https://wa.me/491736494914?text=Hola%20PHP%20SOS%2C%20necesitamos%20ayuda%20con%20nuestro%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Sitio%20web%3A%20%E2%80%A6 **En resumen:** una gran parte de los sistemas de gestión de contenidos (CMS) y de tiendas más extendidos está escrita en PHP, entre ellos WordPress con WooCommerce, TYPO3, Joomla, Drupal, Contao, Shopware, Magento o Adobe Commerce y PrestaShop. A ello se suman aplicaciones internas como Nextcloud, Moodle, MediaWiki y Matomo. Quien opere uno de estos sistemas está afectado por vulnerabilidades del intérprete de PHP como PHP2Shell, por muy actualizado que esté el propio CMS. ## Por qué tantos sitios web funcionan con PHP PHP está pensado para servidores web desde los años noventa y está disponible en prácticamente cualquier proveedor de hosting. Por eso, un CMS basado en PHP puede operarse sin infraestructura de servidor propia, algo que era y es atractivo precisamente para pequeñas y medianas empresas, asociaciones y administraciones. Para los operadores esto significa: el sitio web no es solo «WordPress» o «Shopware», sino una pila de varias capas. Abajo funciona el sistema operativo, encima el servidor web, luego el intérprete de PHP y, arriba del todo, el CMS con sus extensiones. Cada capa necesita sus propias actualizaciones. Una vulnerabilidad en PHP afecta a todos los sistemas que se construyen sobre él. A ello se suman las extensiones: plugins, temas, módulos e interfaces de tienda también son código PHP, a menudo de pequeños proveedores. Se ejecutan con los mismos permisos que el CMS y las ejecuta el mismo entorno de ejecución de PHP. Un CMS con muchas extensiones tiene, por tanto, una superficie de ataque mayor que una instalación ligera, aunque el núcleo esté actualizado. Aquí omitimos las cifras de difusión de cada sistema. No existe una fuente que consideremos fiable y comparable. ## CMS y sistemas de tienda extendidos basados en PHP La tabla menciona sistemas conocidos y lo que los propios fabricantes dicen sobre su base técnica. No indicamos deliberadamente los requisitos de versión, porque cambian con cada versión. | Sistema | Tipo | Indicación sobre la base técnica | |---|---|---| | WordPress, WooCommerce | CMS, extensión de tienda | aplicación PHP, MySQL o MariaDB según los requisitos | | TYPO3 | CMS | según la documentación necesita servidor web, PHP y base de datos SQL | | Joomla | CMS | PHP con MySQL, MariaDB o PostgreSQL | | Drupal | CMS | PHP; extensiones del núcleo en `core/composer.json` | | Contao | CMS | según el fabricante, sobre el framework full-stack de Symfony | | Craft CMS | CMS | el fabricante menciona Yii entre las herramientas utilizadas | | Shopware 6 | Tienda | la documentación para desarrolladores trata los plugins como bundles de Symfony | | Magento Open Source, Adobe Commerce | Tienda | PHP y Composer en los requisitos del sistema | | PrestaShop | Tienda | PHP con su propia tabla de compatibilidad | | Nextcloud | Almacén de archivos | Apache con mod_php o PHP-FPM, Nginx con PHP-FPM | | Moodle | Plataforma de aprendizaje | desarrollado en PHP según la documentación | | MediaWiki, Matomo | Wiki, estadísticas | PHP según los requisitos de instalación | Muchos de estos sistemas utilizan internamente componentes de [frameworks de PHP](https://phpsos.de/es/php/php-frameworks/) y cargan bibliotecas mediante Composer. Para la mayoría tenemos páginas propias con indicaciones de protección, por ejemplo [WordPress](https://phpsos.de/es/plattformen/wordpress/), [Shopware 6](https://phpsos.de/es/plattformen/shopware-6/) y [TYPO3](https://phpsos.de/es/plattformen/typo3/). ## ¿Cómo averiguo si mi sitio web funciona con PHP? Muchas empresas no saben exactamente qué sistemas tienen en funcionamiento, sobre todo cuando el sitio web lo ha construido una agencia. Estos pasos aportan claridad: 1. **Crear un inventario:** listar todos los dominios, subdominios e interfaces web internas, también los sistemas de prueba y las páginas de campañas antiguas. 2. **Preguntar al proveedor de hosting o a la agencia:** ¿qué sistema, qué versión de PHP, qué modo de ejecución (PHP-FPM, mod_php, LiteSpeed)? Pida una respuesta por escrito. 3. **Mirar el panel de hosting:** en Plesk, cPanel e interfaces similares figura la versión de PHP de cada sitio web. Tenga en cuenta que los backports de la distribución no cambian el número mostrado. 4. **Comprobar en el servidor:** los administradores ven en los procesos y en la configuración del servidor web qué entorno de ejecución de PHP entrega realmente. 5. **No olvidar los dispositivos:** los sistemas NAS, los routers y los appliances suelen tener una interfaz web que también puede funcionar con PHP. ```bash # En el servidor: ¿qué procesos de PHP se están ejecutando? ps -eo user,cmd | grep -E 'php-fpm|lsphp|php-cgi|frankenphp' | grep -v grep ``` ## Tomarse en serio los requisitos del sistema Cada fabricante publica con qué versiones de PHP está probado su software. Estos datos son la base de toda planificación de actualizaciones: una actualización de PHP a una versión que el CMS aún no admite puede dejar el sitio web inservible. Un CMS que solo funciona con una versión de PHP sin actualizaciones de seguridad es un riesgo permanente. Por eso, compruebe según los requisitos del sistema del fabricante para su versión exacta qué versiones de PHP son posibles y contrástelo con las versiones de PHP corregidas. Para los sistemas que solo funcionan con PHP 8.1 o anteriores, el proyecto PHP ya no ofrece actualizaciones oficiales. ## Qué significa PHP2Shell para los operadores de CMS y tiendas PHP2Shell consta de las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 en el intérprete de PHP, ambas con CVSS 9.2. Permiten ejecutar código malicioso sin autenticación. Están corregidas en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Una actualización del CMS no cierra estas vulnerabilidades; por qué lo explica nuestro artículo [Por qué una actualización de WordPress no ayuda frente a PHP2Shell](https://phpsos.de/es/blog/warum-wordpress-update-nicht-hilft/). En las tiendas es especialmente grave, porque allí están los datos de clientes, los pedidos y las credenciales de los servicios de pago y de envío. Además, un parche no elimina el software malicioso introducido antes ni demuestra que no haya pasado nada. ## ¿Cómo ayuda PHP SOS en concreto? - Elaboramos un inventario de sus sitios web basados en PHP y de sus aplicaciones internas con sistema, versión de PHP y modo de ejecución. - Contrastamos los requisitos de los fabricantes con las versiones de PHP corregidas y planificamos la actualización de cada sistema. - Instalamos las actualizaciones de PHP, reiniciamos todos los procesos y comprobamos después que el CMS y la tienda funcionan correctamente. - Ante la sospecha de un incidente, investigamos el sistema en el marco de la [ayuda inmediata PHP2Shell](https://phpsos.de/es/leistungen/php2shell-soforthilfe/). ## Preguntas frecuentes **¿Funciona WordPress con PHP?** Sí. WordPress es una aplicación PHP y, según los requisitos oficiales, necesita PHP y una base de datos MySQL o MariaDB. Por tanto, las vulnerabilidades del intérprete de PHP afectan también a cualquier instalación de WordPress, con independencia del estado del propio WordPress. **¿Ayuda una actualización del CMS frente a PHP2Shell?** No. La vulnerabilidad está en PHP, no en el CMS. Según drweb.de, WordPress.org tampoco prevé por ello una actualización propia. Solo se cierra con una versión de PHP corregida y el reinicio de todos los procesos de PHP. **¿Cómo sé qué versión de PHP necesita mi tienda?** En los requisitos del sistema del fabricante para su versión concreta. Estos datos cambian con cada versión importante, por lo que conviene consultarlos directamente en el fabricante y no tomarlos de guías antiguas. **¿Están afectadas también las aplicaciones internas?** Sí, si funcionan con PHP. Los almacenes de archivos como Nextcloud, las plataformas de aprendizaje como Moodle, las wikis internas con MediaWiki o Matomo para estadísticas son aplicaciones PHP. Suelen olvidarse en los inventarios. **¿Un sitio web sin .php en la dirección no es PHP?** No necesariamente. Los sistemas modernos dirigen todas las direcciones a través de un index.php central, de modo que en la URL nunca aparece .php. Solo es seguro mirar el servidor o preguntar al proveedor de hosting o a la agencia. ## Fuentes - [WordPress.org](https://wordpress.org/) - [TYPO3](https://typo3.org/) - [Shopware](https://www.shopware.com/) - [Dr. Web: PHP2Shell y versiones de PHP](https://www.drweb.de/php2shell-update-php-versionen/)