Drupal vs WordPress 2026-2027: comparativa técnica y cuál elegir

Actualizado el 11 de noviembre de 2026 · Equipo Coresis

En resumen: WordPress es la opción más rápida y económica para sitios editoriales, campañas y equipos pequeños: tiene el ecosistema más grande (74.740 plugins) y su núcleo recibe parches incluso en ramas antiguas. Drupal es la base más sólida para plataformas con muchos tipos de contenido, permisos, idiomas e integraciones: modela cada campo en su propia tabla con tipo e índice, trae caché por etiquetas en el núcleo y, según el Web Almanac 2025, el 61 % de sus sitios aprueba Core Web Vitals en móvil frente al 45 % de WordPress. En diciembre de 2026 llegan Drupal 12 (PHP 8.5) y WordPress 7.2, y Drupal 10 deja de recibir soporte el 9 de diciembre.

Esta comparativa está escrita para equipos de ingeniería que deben elegir, migrar o defender una plataforma ante su organización. No repite opiniones: usa datos oficiales de Drupal.org y WordPress.org, mediciones de usuarios reales del HTTP Archive, el informe de seguridad de Patchstack 2026 y un análisis propio del código fuente de Drupal 11.4.12, Drupal 12.0.0-beta2 y WordPress 7.1.4, hecho el 11 de noviembre de 2026. Al final explicamos cómo medimos y qué límites tiene cada dato.

Drupal vs WordPress en una tabla

Si solo tienes un minuto, esta tabla resume las diferencias que más pesan en una decisión técnica. Cada fila se desarrolla más abajo.

Versiones y calendario: qué cambia entre 2026 y 2027

Los dos proyectos publican versión en la misma semana de diciembre de 2026, y eso define las decisiones de 2027.

Drupal 11 y Drupal 12

Drupal publica versiones menores cada seis meses y una versión mayor cada dos años. Según el calendario oficial del núcleo, Drupal 12.0.0 y Drupal 11.5.0 salen la semana del 7 de diciembre de 2026; la RC1 de ambas está programada para la semana del 9 de noviembre. Drupal 10 llega al final de su vida útil el 9 de diciembre de 2026, Drupal 11 recibe soporte hasta inicios de diciembre de 2028 y Drupal 12 hasta inicios de diciembre de 2030.

Drupal 12 sube el piso técnico. El anuncio de requisitos de plataforma exige PHP 8.5, MySQL 8.0, MariaDB 10.11, PostgreSQL 18 o SQLite 3.45. El composer.json de la beta 2 declara Symfony 8.1, y el paquete incluye htmx 4.0 y jQuery 4. Comparando los paquetes oficiales, el núcleo pasa de 75 a 67 módulos: en 12.0.0-beta2 ya no están Ban, Contact, Field Layout, History, Search, Settings Tray, Shortcut, Telephone ni Toolbar, y aparece Mailer. Si tu sitio usa alguno, hay que reemplazarlo o instalarlo desde su proyecto contribuido antes de actualizar. Además, Drupal 12 solo actualiza bases de datos que ya estén en Drupal 11.3 o posterior: su núcleo elimina las actualizaciones anteriores a la 11300.

WordPress 7.0, 7.1 y 7.2

WordPress publica dos o tres versiones mayores al año. WordPress 7.0 «Armstrong» salió el 20 de mayo de 2026 con un cliente de IA en el núcleo, la API de Abilities, una pantalla de conexiones para proveedores de IA, un escritorio rediseñado, revisiones visuales y bloques registrables solo con PHP. WordPress 7.1 «Mary Lou» llegó el 19 de agosto de 2026: procesa imágenes en el navegador para reducir la carga del servidor, admite AVIF, HEIC y mapas de ganancia HDR, y amplía Notes con menciones. La versión 7.2 está programada para el 8 de diciembre de 2026. La edición colaborativa en tiempo real, anunciada para 7.0, todavía no forma parte del núcleo.

El dato que más preocupa en WordPress no es el núcleo, sino el entorno. Según las estadísticas de WordPress.org del 11 de noviembre de 2026, el 32 % de los sitios WordPress corre en versiones de PHP sin soporte de seguridad (8.1 o anteriores), y otro 22,5 % usa PHP 8.2, cuyo soporte termina el 31 de diciembre de 2026, según el calendario de PHP.

Arquitectura: framework de aplicación frente a sistema de publicación extensible

La diferencia de fondo no es de funciones, sino de diseño. WordPress nació en 2003 como sistema de publicación y crece por extensión: su núcleo expone acciones y filtros globales que cualquier plugin puede enganchar, una capa de datos centrada en WP_Query y $wpdb, y un editor de bloques en React configurado con block.json y theme.json. Prioriza la compatibilidad hacia atrás: un tema escrito hace diez años suele seguir funcionando.

Drupal, desde la versión 8, es un framework de aplicación construido sobre componentes Symfony (HttpKernel, contenedor de dependencias, despachador de eventos). Su núcleo gira alrededor de la Entity API: entidades con campos tipados, plugins descubiertos por atributos de PHP, configuración exportable en YAML y un sistema de render que adjunta metadatos de caché a cada fragmento. En Drupal 11 los hooks pueden implementarse como métodos de clase con el atributo #[Hook]; en la beta 2 de Drupal 12 los archivos .module del núcleo bajan de 62 a 23.

En la práctica, WordPress permite que un desarrollador entregue un sitio en días con plugins; Drupal exige más diseño previo, pero ese diseño (tipos de contenido, campos, permisos, vistas) queda en configuración versionable y se despliega con el código.

Modelado de datos: donde se nota la diferencia a escala

Esta es la diferencia que más pesa en plataformas con miles de contenidos estructurados. Toma un mismo tipo de contenido, por ejemplo un trámite con fecha límite y entidad responsable, y mira dónde termina cada dato.

WordPress crea 12 tablas en una instalación sencilla. Los campos personalizados (ACF, Pods o código propio) suelen guardarse en wp_postmeta: el esquema de WordPress 7.1.4 indexa post_id y los primeros 191 caracteres de meta_key, pero no meta_value, que es LONGTEXT. Por eso una búsqueda con varias condiciones sobre campos (meta_query) agrega una unión por condición y compara texto. Es manejable con pocos miles de registros y se vuelve costoso con cientos de miles. Las salidas habituales son tablas propias, índices adicionales o un motor de búsqueda externo.

Drupal crea una tabla por campo, con una columna del tipo correcto y su índice, más una tabla de revisiones por campo. Nuestro propio sitio, coresis.co, tiene 176 tablas, de las cuales 26 son de campos de contenido y otras 26 de sus revisiones; un campo de etiquetas, por ejemplo, guarda field_tags_target_id como entero indexado. El costo es un esquema más grande y más uniones; la ganancia es integridad, consultas predecibles, revisiones e idiomas por campo sin código adicional.

Calidad de código medida en el núcleo

No encontramos un estudio comparable publicado, así que lo medimos. Descargamos los paquetes oficiales y los analizamos con el tokenizador de PHP, sin ejecutar el código. En WordPress medimos solo el código propio del núcleo (sin wp-content ni las librerías de terceros que incluye); en Drupal, el directorio core sin dependencias ni pruebas.

La lectura honesta tiene dos lados. Drupal es código orientado a objetos, con namespaces, tipos e inyección de dependencias casi en todo el núcleo, y trae una suite de pruebas muy amplia; eso facilita refactorizar y auditar. WordPress conserva una API procedural con estado global (más de mil sentencias global) por su compromiso de compatibilidad, pero su configuración de PHPStan es más estricta que la de Drupal: nivel 5 frente a nivel 1. Ninguna de estas cifras mide por sí sola la calidad de un proyecto; la mayor parte del código de un sitio real está en los plugins, módulos y temas que elija tu equipo.

Rendimiento con datos de usuarios reales

El Web Almanac 2025 del HTTP Archive cruza millones de sitios con los datos de experiencia real de Chrome (CrUX). En 2025 midió 4.840.897 orígenes WordPress y 150.125 orígenes Drupal en móvil.

La brecha está casi toda en LCP, la métrica de carga: 73 % de los sitios Drupal frente a 53 % de los WordPress. En interactividad (INP) están empatados. Parte de la explicación es el peso: la página mediana WordPress en móvil pesa 2.894 KB y la de Drupal 2.436 KB, con menos imágenes, JavaScript, CSS y fuentes.

Hay un sesgo que conviene decir: WordPress incluye millones de sitios hechos con constructores visuales. El mismo Almanac estima que cerca del 60 % de los sitios WordPress usa un constructor de páginas, y W3Techs detecta Elementor en el 31,5 % de los sitios WordPress. Un WordPress bien construido puede rendir tan bien como un Drupal; la diferencia es que en Drupal la arquitectura de caché viene en el núcleo y en WordPress depende de las decisiones del equipo y del hosting.

La invalidación por etiquetas de caché es la ventaja práctica de Drupal: cuando cambia un contenido, se invalidan solo las páginas y fragmentos que lo usan. En WordPress, la purga depende del plugin o del hosting. Como referencia propia: coresis.co corre en Drupal 11.4, y el 11 de noviembre de 2026 medimos 14 plantillas tres veces con la API de PageSpeed Insights. La media fue 100 en escritorio (41 de 42 mediciones en 100) y 99,6 en móvil, con un mínimo de 97. Son datos de laboratorio, no de usuarios reales.

Seguridad: núcleo, extensiones y proceso

Comparar «cuál es más seguro» con el número total de vulnerabilidades es engañoso: WordPress tiene decenas de veces más instalaciones y extensiones. Lo útil es mirar dónde aparece el riesgo y cómo se gestiona.

El informe State of WordPress Security in 2026 de Patchstack registró 11.334 vulnerabilidades nuevas en el ecosistema WordPress durante 2025, un 42 % más que en 2024. El 91 % estuvo en plugins, el 9 % en temas y solo 6, de baja prioridad, en el núcleo. El 46 % no tenía parche cuando se hizo pública, y en las más explotadas la mediana ponderada entre la publicación y la explotación masiva fue de 5 horas. En sus pruebas, las defensas habituales del hosting bloquearon solo el 26 % de los intentos de explotación, y el 12 % de los específicos de WordPress.

WordPress compensa con un proceso de parcheo amplio. Desde 2013 aplica automáticamente las versiones menores de seguridad, y su última corrección, del 28 de octubre de 2026, se publicó a la vez para 25 ramas, de la 4.7 a la 7.1, según el historial de versiones de WordPress.org.

Drupal centraliza la seguridad en su equipo de seguridad, que publica avisos para el núcleo y para los módulos contribuidos que tienen cobertura. Las correcciones del núcleo salen en ventanas anunciadas y se instalan con Composer dentro del flujo de despliegue; no hay actualización automática por defecto.

Editorial, multilingüe, APIs e IA

La IA es la novedad de 2026. WordPress 7.0 incorporó un cliente que habla con modelos generativos y una API para que los plugins declaren «habilidades» que un agente puede usar. Drupal deja la IA fuera del núcleo y la integra por módulos o servicios externos. Para una organización, la pregunta importante no es dónde vive el cliente de IA, sino qué datos puede leer el modelo, con qué permisos y con qué registro. Ese diseño es el mismo en ambas plataformas: lo hacemos como agencia de IA con Raggo, nuestro asistente que responde desde los documentos de la organización y cita la fuente, conectado a portales Drupal o WordPress.

Quién los usa: casos verificados

Las listas de «grandes marcas que usan X» suelen estar desactualizadas, así que revisamos los sitios el 11 de noviembre de 2026 por su firma técnica: la etiqueta de generador, las cabeceras de Drupal o las rutas propias de cada plataforma.

La cuota de mercado cuenta una historia distinta según el tamaño del sitio. Según W3Techs, WordPress está en el 39,3 % de todos los sitios web y Drupal en el 0,6 %; pero Drupal es el segundo CMS más usado entre los 100.000 sitios con más tráfico. El Web Almanac lo confirma: entre los sitios más visitados hay unos 10 sitios Drupal por cada 100 WordPress, frente a 3 por cada 100 en toda la web.

Costo total de propiedad a tres años

El precio de construir un sitio dice poco. Lo que cambia entre plataformas es dónde se va el dinero durante su vida útil. Sin inventar cifras, estos son los factores que deberías poner en una hoja de cálculo para tu caso.

Para ver cómo se estructura y cobra un proyecto en Coresis, revisa nuestro modelo de contratación.

Cuándo elegir WordPress y cuándo Drupal

Si ya tienes una de las dos y dudas, la pregunta correcta no es cuál es mejor, sino cuánto te cuesta sostener la actual frente a migrar. Migrar entre plataformas significa rediseñar el modelo de contenido, mover URLs con redirecciones y volver a entrenar al equipo; solo se justifica cuando la plataforma actual ya limita la operación.

Cómo lo aplica Coresis

Trabajamos con las dos plataformas y elegimos según el caso. En desarrollo Drupal hemos hecho portales institucionales como los del ICBF, el Ministerio de Vivienda y la Facultad de Ingeniería de Uniandes; ofrecemos soporte y mantenimiento Drupal y migración a Drupal 11, ahora con la vista puesta en Drupal 12. En WordPress para publicación digital trabajamos sitios editoriales donde el equipo necesita publicar rápido con un editor conocido. Y si la evaluación termina en una plataforma que debe responder preguntas o automatizar trámites, la conectamos con agentes de IA.

Preguntas frecuentes

¿Drupal es más seguro que WordPress?

El núcleo de ambos es sólido: Patchstack contó solo 6 vulnerabilidades de baja prioridad en el núcleo de WordPress en 2025. La diferencia está en las extensiones y en el proceso. WordPress concentra el riesgo en sus más de 74.000 plugins; Drupal tiene menos extensiones, un equipo de seguridad que cubre los módulos con cobertura y actualizaciones por Composer dentro del despliegue.

¿Cuál es más rápido?

En datos de usuarios reales, el 61 % de los sitios Drupal aprueba Core Web Vitals en móvil frente al 45 % de los WordPress (Web Almanac 2025). Drupal trae la caché en el núcleo; en WordPress depende del tema, los plugins y el hosting. Un WordPress optimizado puede igualar a un Drupal.

¿Qué pasa con mi sitio en Drupal 10 después del 9 de diciembre de 2026?

Seguirá funcionando, pero sin parches de seguridad. La ruta recomendada es actualizar a Drupal 11.3 o posterior y, desde ahí, planear Drupal 12, que exige PHP 8.5.

¿WordPress sirve para una entidad pública?

Sí, y sitios como whitehouse.gov y nasa.gov lo usan. Para portales con trámites, muchos responsables, multilingüe y requisitos de trazabilidad, Drupal suele requerir menos código propio y menos extensiones de terceros.

¿Puedo usar cualquiera de los dos como headless?

Sí. Drupal trae JSON:API en el núcleo y WordPress su REST API. Drupal conviene cuando el modelo de contenido es complejo; WordPress cuando el equipo editorial ya lo conoce.

¿Qué cambia con Drupal 12 y WordPress 7?

Drupal 12 sube los requisitos (PHP 8.5, Symfony 8.1, PostgreSQL 18), retira del núcleo varios módulos y sigue moviendo los hooks a clases. WordPress 7 incorpora IA en el núcleo, rediseña el escritorio y mejora el manejo de imágenes y la colaboración con Notes.

Cómo medimos y limitaciones

• Versiones y calendario: historial de versiones de Drupal (updates.drupal.org) y de WordPress.org, calendario oficial del núcleo de Drupal y calendario de WordPress 7.2, consultados el 11 de noviembre de 2026.
• Código: paquetes oficiales drupal-11.4.12, drupal-12.0.0-beta2 y wordpress-7.1.4, analizados con token_get_all de PHP 8.3 sin ejecutar el código. En WordPress excluimos wp-content y las librerías de terceros de wp-includes; incluyéndolas, el 22 % de los archivos tiene namespace. En Drupal excluimos vendor y las pruebas. Son métricas sintácticas: no miden diseño ni defectos.
• Rendimiento: Web Almanac 2025 del HTTP Archive, que combina su rastreo con datos CrUX de usuarios de Chrome. Muestra correlación, no causalidad: el tipo de sitio y el equipo que lo construye influyen.
• Seguridad: Patchstack mide el ecosistema WordPress completo; para Drupal contamos las fechas con versiones de seguridad del núcleo en su historial oficial, que no incluye los avisos de módulos contribuidos.
• Casos: detección por firma técnica el 11 de noviembre de 2026; un sitio puede cambiar de plataforma después.

Fuentes y referencias

• Drupal.org: calendario de versiones del núcleo, fechas de Drupal 11.5, 12.0 y fin de vida de Drupal 10.
• Drupal.org: requisitos de plataforma de Drupal 12.0.0 (14 de enero de 2026).
• Historial de versiones del núcleo de Drupal (XML oficial).
• WordPress 7.0 «Armstrong» y WordPress 7.1 «Mary Lou», notas oficiales.
• Make WordPress Core: calendario de WordPress 7.2.
• WordPress.org: historial de versiones y estadísticas de PHP.
• HTTP Archive: Web Almanac 2025, capítulo CMS.
• Patchstack: State of WordPress Security in 2026.
• W3Techs: uso de sistemas de gestión de contenidos.
• PHP: versiones con soporte.
• WordPress: esquema de base de datos y configuración de PHPStan.