Kurz: PHP ist etablierter Standard in diesem Umfeld - egal wie unsicher es ist.
Die Sicherheit ist wohl kaum der Grund gegen PHP. Mit ASP.NET habe ich da deutlich mehr Probleme... genau auch beim CMS...
Es gibt jedenfalls für beide Systeme gute CMS, aber ohne weitere Rahmenbedingen kann man kaum eine Empfehlung abgeben. Allgemeine Listen mit CMS für ASP.NET gibt es ja im Internet zur Genüge.