Mientras el INE establece que las precampañas para la gubernatura serán del 4 de enero al 12 de febrero, una reforma aprobada por el Congreso local fija el periodo del 20 de enero al 8 de febrero; la discrepancia podría provocar impugnaciones, sanciones y conflictos sobre la validez de los actos de precampaña

Por: Jorge Saldaña

La reforma electoral aprobada por el Congreso de San Luis Potosí el pasado 12 de agosto abrió una controversia jurídica frente al calendario establecido por el Instituto Nacional Electoral (INE) para las elecciones de 2027, debido a que ambas disposiciones contemplan fechas distintas para la realización de las precampañas a la gubernatura.

De acuerdo con el calendario publicado por el INE, las precampañas para elegir a quien sucederá en la gubernatura deberán desarrollarse del 4 de enero al 12 de febrero de 2027, con una duración de 40 días naturales. Sin embargo, la reforma a la Ley Electoral del Estado establece que comenzarán el 20 de enero y concluirán el 8 de febrero, reduciendo el periodo a solamente 20 días.

La discrepancia adquiere relevancia porque el Consejo General del INE aprobó el 30 de julio de 2026 el acuerdo INE/CG478/2026, mediante el cual ejerció su facultad de atracción para homologar las fechas de conclusión de las precampañas locales y estableció el 12 de febrero como límite para San Luis Potosí.

La determinación federal, aprobada antes de la reforma estatal, también vinculó a los organismos públicos locales electorales a adecuar sus calendarios conforme a las fechas homologadas.

En consecuencia, la diferencia plantea un problema sobre el alcance de las facultades de las autoridades electorales federales y locales.

Aunque los congresos estatales tienen atribuciones para regular la duración de las precampañas, deben ejercerlas conforme a la Constitución federal y la legislación general electoral.

Por ello, la reforma potosina podría generar controversias sobre su compatibilidad con el acuerdo de homologación del INE, particularmente respecto de la fecha de conclusión de las precampañas.

Partidos y aspirantes podrían enfrentar sanciones

Por ejemplo, si un partido inicia actos de precampaña el 4 de enero, conforme al calendario publicado por el INE, podría enfrentar denuncias por presuntos actos anticipados, debido a que la legislación estatal establece el inicio hasta el 20 de enero.

De manera similar, las actividades realizadas del 9 al 12 de febrero podrían ser cuestionadas, ya que esas fechas se encuentran comprendidas en el calendario federal, pero fuera del plazo establecido en la reforma local.

Las consecuencias podrían incluir procedimientos sancionadores, amonestaciones, multas y controversias sobre la validez de los procesos internos.

En el caso de las personas aspirantes, también podrían generarse problemas para clasificar y reportar gastos de precampaña, especialmente cuando las actividades se realicen en fechas consideradas válidas por una autoridad, pero controvertidas frente a otra disposición.

En circunstancias específicas previstas por la legislación, las infracciones graves en materia de fiscalización pueden tener consecuencias sobre el registro de candidaturas. Sin embargo, ninguna sanción se produciría automáticamente por la sola existencia de calendarios contradictorios.

CEEPAC, ante el reto de definir un calendario

El Consejo Estatal Electoral y de Participación Ciudadana (CEEPAC) enfrenta una de las principales implicaciones de esta diferencia normativa, al ser el organismo encargado de organizar las elecciones locales y establecer las condiciones operativas para las distintas etapas del proceso.

El decreto de reforma establece que el organismo electoral debe adecuar su normatividad dentro de los 90 días naturales posteriores a su entrada en vigor.

Sin embargo, cualquier calendario que apruebe deberá considerar tanto la legislación estatal vigente como las disposiciones obligatorias emitidas por el INE.

Si el CEEPAC adopta las fechas establecidas en la reforma local, podría enfrentar cuestionamientos por su incompatibilidad con la fecha de conclusión homologada por el organismo nacional. Por el contrario, si mantiene el calendario federal sin resolver su relación con la ley estatal, sus acuerdos también podrían ser impugnados.

Entre sus posibles consecuencias se encuentran conflictos de fiscalización y procedimientos sancionadores relacionados con actos realizados durante los días en disputa.

La discrepancia alcanza diputaciones y ayuntamientos

El problema podría ser todavía mayor en las elecciones de diputaciones locales y ayuntamientos.

Mientras el calendario publicado por el INE contempla que esas precampañas concluyan el 12 de febrero de 2027, la reforma estatal establece un periodo del 4 al 23 de febrero.

Esto significa que, para estas elecciones, la legislación local permitiría actividades de precampaña durante 11 días posteriores al cierre homologado por el organismo nacional.

La situación también podría repercutir en las candidaturas independientes, debido a las modificaciones legales relacionadas con los plazos para recabar apoyo ciudadano.

De mantenerse sin aclaración, las diferencias de fechas podrían ocasionar impugnaciones por posibles afectaciones a los derechos político-electorales de las personas participantes.

Incertidumbre debe resolverse antes de enero

De acuerdo a las fechas y normativas, resulta necesario que el INE y el CEEPAC aclaren formalmente cuál será el calendario aplicable y qué disposiciones regirán la fiscalización y los procedimientos internos.

La cuestión central es si debe mantenerse la fecha de conclusión del 12 de febrero establecida por el INE o prevalecer el periodo del 20 de enero al 8 de febrero aprobado por el Congreso potosino.

Mientras no exista una definición institucional clara, los partidos y aspirantes enfrentarán el riesgo de realizar actividades cuya legalidad podría ser cuestionada posteriormente ante los tribunales electorales.

También lee: INE da a Morena y Verde hasta el 4 enero para aliarse en SLP

David Azuara Zúñiga es diputado federal del PAN por el distrito V de San Luis Potosí. Su suplente en San Lázaro, Rafael Armando López Puente, puso 25 mil pesos, según el acta, en la sociedad hotelera que abrió un negocio boutique de cinco habitaciones en San Miguel de Allende. El comisario de esa sociedad es también el tesorero del PAN estatal, y hermano de la esposa del diputado. Desde 2022 una denuncia por enriquecimiento ilícito y asociación delictuosa duerme en la fiscalía de San Luis Potosí con los tres nombres dentro del mismo expediente. Su constelación familiar liga a todos al círculo de Gerardo Sánchez Zumaya y sus relaciones sociales los vinculan a un personaje presuntamente involucrado en delitos como homicidio y crimen organizado conocido como la “Wiwa”

Por: Jorge Saldaña | Investigación especial

San Luis Potosí, S.L.P., 28 de octubre de 2026

En una de las fotografías que circularon este 27 de octubre, un hombre de camisa azul aparece abrazado a David Azuara Zúñiga. Se trata de Jesús Salazar, «La Wiwa», detenido dos días antes y señalado por la Fiscalía de San Luis Potosí como presunto líder criminal de la Huasteca.

Hay más. En el video que también circuló la mañana del miércoles, de la suntuosa boda de Eduardo Isaac Sánchez Zúñiga, medio hermano del empresario Gerardo Sánchez Zumaya celebrada en abril de 2024 en la Antigua Nave Lewis del Parque Fundidora en Monterrey, también Salazar aparece entre los asistentes justo al lado de Gerardo. El video lo grabó y difundió el propio Sánchez Zumaya desde sus redes sociales.

La fotografía con el legislador federal y el video en primer plano junto a Sánchez Zumaya obliga a preguntar si el empresario investigado por una red de facturación con Pemex y hoy fuera del país con las cuentas congeladas, pertenece a la misma constelación familiar de los Azuara Zúñiga elementos clave durante años para el PAN en San Luis Potosí.

La respuesta no se encontró en las fotografías de reciente circulación mediática, sino en un acta notarial de diciembre de 2020, en un hotel de San Miguel de Allende y en una denuncia con tres nombres fuertemente ligados y que tiene cuatro años guardada en la FGE.

Un municipio que aparece en todos los expedientes

Tanquián de Escobedo es un municipio de la Huasteca potosina de poco más de 13 mil habitantes. Es el lugar donde en abril de 2013 se constituyó Grupo Mineral & Logistic con 50 mil pesos de capital y donde hoy tiene su domicilio fiscal Safnat, una de las tres empresas a las que Pemex y el Instituto Mexicano del Petróleo pagaron más de 2 mil 800 millones de pesos en 2025, según la investigación que publicó Reforma el 21 de octubre. El domicilio corresponde a una humilde morada.

Es también el municipio donde la noche del 17 de octubre y la madrugada del 18 hubo enfrentamientos armados, después del asesinato de un elemento federal.

Y es el municipio donde nacieron los dos hermanos Azuara Zúñiga. Xavier, el 16 de septiembre de 1979. David, el 24 de agosto de 1990. Así consta en sus fichas del Sistema de Información Legislativa de la Secretaría de Gobernación.

En mayo de 2017, cuando las acciones de Grupo Mineral cambiaron de manos por tercera vez, la escritura se firmó en Tanquián ante la notaria pública Aurora Azuara Hervert, la número 2 del municipio. El documento está en el expediente de este trabajo: la escritura 7,159, en la que Zacarías Torres Reyes donó de vuelta sus acciones a Sánchez Zumaya y Pablo Emmanuel Jonguitud cedió las suyas al contador Pablo Alberto Chávez Aguayo.

La parentela

El 15 de octubre de 2024, Reporte Índigo publicó un trabajo titulado «La historia ‘oculta’ de los dueños del PAN». Su primera línea situaba el asunto: «El municipio huasteco de Tanquián de Escobedo, en SLP, es el origen de dos familias emparentadas que ahora son dueños del Partido Acción Nacional en la entidad: los Azuara y los Zumaya».

El reportaje describe la estructura así: la cabeza es el contador público Xavier Azuara Zúñiga, exdiputado federal y expresidente estatal del PAN, descrito como un hombre de bajo perfil que opera «una red de operadores políticos». Sus negocios, según esa publicación, y sustentan las actas obtenidas por el SIGER de la Secretaría de Economía, abarcan hotelería, producción agropecuaria, compraventa de ganado y consultoría.

Es el mismo diario el que añade el eslabón que interesa a esta historia: en varias de esas sociedades aparece «Fernando Zumaya Azuara, primo de Xavier y David, y al mismo tiempo Gerardo Sánchez Zumaya». La madre de Zumaya Azuara y el padre de los Azuara Zúñiga son hermanos.

Fernando Zumaya Azuara no es una figura marginal. Es el tesorero del Comité Directivo Estatal del PAN en San Luis Potosí para el periodo 2024-2027, electo el 24 de enero de 2025, y consejero estatal y nacional del partido. Su nombre aparece con ese cargo en documentos del propio partido disponibles en plataformas de transparencia.

Pero la relación familiar es más cerrada de lo que sugiere un apellido compartido. Su hermana, Edith Zumaya Azuara, es la esposa del diputado David Azuara Zúñiga; el propio legislador lo ha hecho público en sus redes, al anunciar la apertura del restaurante de Edith. Si Fernando es hermano de Edith y primo de David —como sostienen las publicaciones que han descrito a esa familia—, el diputado se casó con su prima. En México no se considera incesto un matrimonio entre primos hermanos y según los registros públicos de Tanquián este tipo de casos se han repetido por generaciones.

Xavier Azuara Zúñiga tiene una biografía legislativa larga. Fue diputado federal en las legislaturas LXII (2012-2015), LXIV (2018-2021) y LXV (2021-2024); antes fue diputado local; en diciembre de 2015 fue electo presidente del PAN potosino; en 2018 coordinó en San Luis Potosí la campaña presidencial de Ricardo Anaya; en 2019 su partido lo propuso para presidir la Mesa Directiva de la Cámara de Diputados y Morena anunció que no votaría por él.

El diputado, suplente y el tesorero en la misma sociedad

En 2016 se constituyó en la capital potosina Azuara, López & Márquez Consultores, S. de R.L. de C.V. En ella el accionista principal y administrador único es David Azuara Zúñiga; los otros socios son Víctor Hugo Briones Márquez, Rafael Armando López Puente y el comisario es Fernando Zumaya Azuara.

Rafael Armando López Puente no es un socio cualquiera. Es el suplente del diputado David Azuara en la LXVI Legislatura. Así lo registran el Sistema de Información Legislativa y la lista oficial de la integración de la Cámara de Diputados: propietario, David Azuara Zúñiga; suplente, Rafael Armando López Puente, distrito 5 de San Luis Potosí, mayoría relativa.

Es decir: quien ocuparía la curul del diputado si este faltara, es socio de la empresa en la que el diputado es accionista principal y administrador único. Y el tesorero del PAN estatal, Fernando Zumaya Azuara, es comisario de esa misma empresa. Ninguno de esos tres hechos es ilegal por sí mismo, pero juntos describen una superposición poco frecuente entre el cargo partidista, el cargo legislativo y el negocio privado, en una familia que además está emparentada con el empresario investigado y con cuentas congeladas.

El patrón se repite: en Inversiones Xadajo, sociedad dedicada a la producción agrícola y ganadera constituida en 2016 en una notaría de Ciudad Valles, aparecen como socios Xavier Azuara Zúñiga en primer lugar, David Azuara después y José Eduardo Zúñiga Goldaracena; de comisario, otra vez Fernando Zumaya Azuara. Es el mismo trío familiar en dos sociedades distintas del mismo año.

El diputado tiene además una fundación: es el vocero público de Fundación Somos Potosí, A.C., con la que ha repartido apoyos y que lo ha acompañado en actos proselitistas, una fundación paralela a Fundación Gesa, de Gerardo Sánchez Zumaya.

Según versiones periodísticas, los Azuara utilizan empresas factureras, triangulan operaciones bancarias, simulan donaciones y evaden al fisco con familiares y amigos como prestanombres, no obstante se consigna que hasta el momento ninguna autoridad ha formulado esas imputaciones en un expediente público, y este trabajo no las encontró sostenidas en documento alguno.

El hotel de San Miguel de Allende

La noche del 21 de diciembre de 2020, ante notario, dos hombres de apellido López constituyeron una sociedad en San Luis Potosí. Se llama 100 Hilos. Según el acta, Alejandro López y Rafael Armando López Puente aportaron un capital mínimo sin derecho a retiro de 50 mil pesos, representado en 100 acciones divididas en partes iguales: 25 mil pesos cada uno. En el mismo acto protocolario los dos socios nombraron comisario titu lar, otra vez, a Fernando Zumaya Azuara —el actual tesorero del PAN estatal—, el primo de Sánchez Zumaya, el primo de los Azuara Zúñiga, el cuñado del legislador federal David Azuara.

La figura quedó inscrita en el Registro Público de Comercio el 11 de noviembre de 2021.

El objeto social son la industria hotelera, restaurantes, negocios conexos y servicios complementarios. La compraventa, el almacenamiento y la exhibición de todo tipo de productos, alimentos, bebidas e inmuebles. En el escrito de la denuncia que describe esos papeles se cuentan 27 giros.

Dos años y medio después, en mayo de 2023, la revista Gourmet de México publicó una nota de viajes sobre un hotel boutique de cinco habitaciones en el corazón de San Miguel de Allende. Se llama Casa Cien Hilos. Está en la calle Terraplén 2C, a unos 400 metros de la parroquia de San Miguel Arcángel. En su sitio web propio, una habitación se anuncia desde 2 mil 808 pesos la noche.

El 15 de noviembre de 2022, se publicaron los detalles de una denuncia que supera las 40 cuartillas, presentada ante la Fiscalía General del Estado y también ante la fiscalía federal. Los denunciados son cinco: Xavier Azuara Zúñiga, David Azuara Zúñiga, Fernando Zumaya Azuara y los empresarios Alejandro López y Rafael Armando López Puente. Los delitos que se les imputan en el escrito son enriquecimiento ilícito y asociación delictuosa.

El argumento de los quejosos es económico y cabe en una circunstancia sin explicación: dos hombres que declaran aportar 25 mil pesos cada uno, no tienen «los recursos necesarios para establecer el negocio, como el que abrieron en San Miguel de Allende, Guanajuato, uno de los municipios más caros de México». (Cita textual en la denuncia)

El capital declarado de la sociedad —50 mil pesos— equivale a menos de medio punto porcentual del valor que la propia denuncia atribuye al inmueble: más de 10 millones de pesos. «Se presume que los accionistas son prestanombres del diputado federal y su hermano», resume el artículo.

La denuncia no se quedó en la sospecha. Los quejosos propusieron doce actos de investigación. Al Registro Público de la Propiedad, el detalle de los terrenos a nombre de los señalados y de sus familiares cercanos en San Luis y en San Miguel de Allende. A la Secretaría de Hacienda, el análisis de las declaraciones de ingresos y egresos de 2018 a 2021 de los cuatro hombres y de la sociedad 100 Hilos. A la Comisión Nacional Bancaria y de Valores, los movimientos financieros. Al Registro Civil, el acta de matrimonio de David Azuara y Edith Zumaya. A la policía de Guanajuato, sumarse a las inspecciones del hotel para entrevistar a conocidos del diputado «que los ha invitado a conocer el hotel, que no está a su nombre». A los peritos de Guanajuato, constituirse en el local y hacer un avalúo. Y a la fiscalía, notificar sus hallazgos a la Unidad de Inteligencia Financiera.

Sobre ese último punto conviene ser exacto: la petición de avisar a la UIF es de los denunciantes en 2022. La UIF no ha señalado hasta el momento a los Azuara ni a Fernando Zumaya. En cambio, apenas hace unas semanas la unidad congeló las cuentas de la otra familia, la de Sánchez Zumaya.

Cuatro años después de aquella publicación no hay noticia de que la denuncia haya sido desestimada, ni de que haya prosperado, ni de que alguien haya sido citado a declarar por ella. La carpeta de investigación no es pública. Y una denuncia, por gruesa que sea, no es una sentencia: ninguno de los cinco ha sido procesado ni condenado por esos hechos, y ellos han sostenido en distintos momentos que se trata de una acusación política. Este trabajo no encontró en documento público alguno la respuesta que dieron entonces.

Lo que sí está documentado y no depende de ninguna presunción es la geometría del asunto: el socio que declaró aportar 25 mil pesos en esa sociedad es hoy la persona que sustituiría al diputado en su curul. El comisario que vigila las cuentas de esa sociedad es el tesorero del partido al que el diputado pertenece y el hermano de su esposa. Y el hotel sigue abierto, con reservaciones en línea y reseñas de cinco estrellas.

Lo que el diputado ha dicho

David Azuara no ha ocultado su relación con Sánchez Zumaya. La ha defendido dos veces en conferencia de prensa.

El 20 de julio de 2026, en la sede del PAN, dijo:

«Mi relación con Gerardo Sánchez (Zumaya), lo dije en campaña y lo digo hoy, nunca la voy a esconder, es mi amigo, sí es mi amigo, no lo voy a negar nunca, que hoy esté con otra sigla y que abandere otra ideología, lo respeto.»

Y añadió:

«Yo tengo amigos en Morena, en el Verde, en el PRI, en MC y no por eso los voy a negar, lo digo aquí, sería un mentiroso si negara mi relación, es una persona que quiero, pero hoy no estamos en el mismo proyecto político.»

Ese día también se deslindó de una grabación que circulaba. Se trató de una llamada múltiple, grabada sin autorización según el legislador, en la que participaron él, Sánchez Zumaya, el empresario de poco juicio, José Luis Romero Calzada y el periodista Samuel Roa, director del medio EMSA Ciudad Valles.

Azuara sostuvo que él solo fungió como vínculo a petición del propio periodista y que no hubo amenaza: «Yo no le veo la agresión en la grabación».

Su explicación dejó una pregunta abierta, y es la misma que la fotografía circulada vuelve a poner sobre la mesa: por qué el diputado de un partido y el empresario de otro eran los interlocutores de una llamada con un periodista. Azuara no ha dado una respuesta distinta de la amistad.

Mientras eso ocurría, el diputado construía su siguiente paso. En octubre de 2026 confirmó que buscará ser candidato del PAN rumbo al proceso electoral de 2027 para la capital potosina.

Ayer 27 de octubre, a las 15:06 horas, este trabajo le envió por mensajería instantánea a David Azuara la solicitud de su postura sobre la fotografía con Salazar, sobre la sociedad 100 Hilos y sobre sus vínculos familiares con el círculo del empresario. El mensaje registró acuse de entrega y de lectura, y el diputado respondió 39 minutos después. Su respuesta, íntegra, es esta:

«Hola, Jorge. Muchas gracias por contactarme y por tomar en cuenta mi postura.

A lo largo de mi trayectoria pública y privada he tenido oportunidad de coincidir con distintas personas, como sucede naturalmente en la vida pública, sin que ello implique necesariamente vínculos más allá de esas coincidencias.

Siempre me he conducido con responsabilidad, trabajo y respeto a la legalidad.

Te agradezco nuevamente la atención y te mando un cordial saludo.»

El intercambio de mensajes no confirma ni niega ninguno de los documentos citados en este texto. Sobre la amistad con Sánchez Zumaya, en cambio, sí está consignado que David Azuara habló dos veces al respecto y sin ambigüedad, la más reciente en julio, cuando todavía no se había publicado nada sobre el hotel boutique ubicado en San Miguel de Allende.

Nota metodológica

Este trabajo es un extracto de un reportaje más amplio aún sin publicar y se apoya en cuatro tipos de fuentes. Documentos oficiales: las fichas del Sistema de Información Legislativa de la Secretaría de Gobernación de David y Xavier Azuara Zúñiga, la integración de la LXVI Legislatura y los registros del Comité Directivo Estatal del PAN en San Luis Potosí disponibles en plataformas de transparencia. Publicaciones periodísticas con fecha y autor identificables: Reporte Índigo («La historia ‘oculta’ de los dueños del PAN», 15 de octubre de 2024); La Noticia San Luis («Exigen investigar a Azuara por presunto enriquecimiento ilícito», 15 de noviembre de 2022), fuente del capítulo IV; Gourmet de México (9 de mayo de 2023) sobre el hotel. Declaraciones públicas textuales del diputado David Azuara, y el expediente notarial del reportaje principal, del que proviene la escritura 7,159 de mayo de 2017. La solicitud de postura al diputado David Azuara Zúñiga se envió por mensajería instantánea el 27 de octubre de 2026 a las 15:06 horas, con acuse de entrega y de lectura, y el diputado respondió a las 15:45 del mismo día; su respuesta se reproduce íntegra en el capítulo V. A Xavier Azuara Zúñiga, Fernando Zumaya Azuara, a Alejandro López y a Rafael Armando López Puente se les buscó hasta el cierre sin tener éxito.

Los parentescos se dan como hechos acreditados por actas que estuvieron a la vista de este trabajo. La denuncia de 2022 se publica como denuncia, con sus cinco nombres y sus dos delitos imputados, sin atribuirle valor de prueba. Ninguna de las cinco personas ha sido procesada ni condenada por esos hechos, y la carpeta sigue sin información pública. Las acusaciones de uso de empresas factureras son acusaciones periodísticas de 2024, no conclusiones de autoridad. Ninguna persona mencionada en este texto ha sido condenada por los hechos que se investigan, y ninguna autoridad ha señalado a los Azuara Zúñiga ni a Fernando Zumaya Azuara en relación con la red de Pemex de Sánchez Zumaya aunque las circunstancias parezcan dentro de la lógica y el sentido común.

También lee: Evidencia exhibe a Sánchez Zumaya y David Azuara con la “Wiwa”

Entre los sistemas sin corrección hay uno de la SEP que funciona con PHP de 2004

Por: Redacción

Al menos 8,600 servicios web en México funcionan con versiones de PHP que ya no recibirán ninguna corrección de seguridad, en plena ola de ataques por PHP2Shell, la falla que el 26 de octubre la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) confirmó como explotada activamente.

El conteo, hecho con el buscador Shodan el 22 de octubre y publicado por Ignacio Gómez Villaseñor en una columna invitada de Milenio, ubica entre esos sistemas uno de la Secretaría de Educación Pública (SEP) que corre con PHP 4.3, de 2004, y otro de la Secretaría de Gobernación (Segob) con PHP 5.2, de 2007. Ninguna de las dos versiones recibe actualizaciones desde hace más de 15 años.

De 39,661 servicios con PHP detectados en el país, cerca de uno de cada cinco usa una versión sin parche posible. Al filtrar solo dominios gob.mx aparecieron 550 servicios de gobierno; de una muestra de 20 revisados uno por uno, 19 eran vulnerables.

Qué es PHP2Shell

PHP es el lenguaje de programación con el que funcionan WordPress, tiendas en línea y buena parte de los portales de gobierno. Según W3Techs, lo usa el 70.2% de los sitios web cuyo lenguaje se conoce.

Las fallas CVE-2026-109618 y CVE-2026-109619, apodadas PHP2Shell, están en el propio PHP y no en una página en particular. Basta con que el servidor acepte recibir archivos, como viene configurado de fábrica, para que un atacante pueda tomar el control del equipo sin usuario ni contraseña. El equipo de PHP las calificó con 9.2 de 10 en gravedad.

La falla también permite leer fragmentos de la memoria del servidor, donde se guardan contraseñas, claves de acceso y certificados. Actualizar cierra la puerta, pero no recupera lo que ya pudo salir.

Cinco días de octubre

Amazon registró el primer intento de ataque el 17 de octubre, cuatro días antes de que la falla fuera pública. El 20 se filtraron los detalles y PHP tuvo que adelantar su corrección, que publicó el 21 de octubre a las 8:00, hora del centro de México, para las versiones 8.2 a 8.5.

Ese mismo día, la Agencia de Seguridad Nacional (NSA) y la CISA pidieron parchar o desconectar los servidores de inmediato. En Países Bajos, ministerios, hospitales y medios apagaron sus sitios por precaución.

El 24 de octubre, un investigador de Perplexity confirmó la ejecución remota de código en servidores trampa. El 26, la CISA agregó ambas fallas a su catálogo de vulnerabilidades explotadas y dio plazo al 29 de octubre para que las agencias federales de Estados Unidos las corrijan. La firma Censys estimó más de 32.5 millones de servicios PHP en el mundo con versiones afectadas.

Una tercera falla, sin parche

El 23 de octubre, PHP divulgó una nueva vulnerabilidad, CVE-2026-115560, que también permite ejecutar código a distancia y que las actualizaciones del 21 no corrigen. Para esta no hay parche: PHP recomendó como medida temporal desactivar la función que reporta el avance de carga de archivos.

Al 26 de octubre no se había reportado su explotación, de acuerdo con la firma SOC Prime.

Gobierno y universidades, los más expuestos

La revisión publicada en Milenio encontró que la Secretaría de Relaciones Exteriores (SRE) tenía un servidor ya actualizado mientras otros de la misma dependencia seguían sin parche.

La institución con más servicios PHP del país es la Universidad Nacional Autónoma de México (UNAM), con 820. Entre todas las universidades públicas de la lista suman más de 1,800, con versiones sin soporte como la 7.0 y la 8.1.

Colombia hizo un ejercicio parecido: su equipo de respuesta, Colcert, contó 8,699 servicios con PHP expuestos. Según la misma columna, en México no hay registro de una alerta equivalente de la autoridad.

Víctor Ruiz, fundador de la firma de ciberseguridad SILIKN, advirtió a Milenio que vienen ataques “sumamente fuertes” contra quienes no actualicen. “Será caótico, te lo puedo asegurar”, dijo.

Ruiz señaló que estas fallas “no distinguen recursos presupuestales”, por lo que una secretaría estatal y un ayuntamiento pequeño quedan igual de expuestos, y que “la ausencia de alertas no descarta una intrusión”.

La firma Sansec concluyó el 22 de octubre que un ataque masivo es menos probable de lo previsto, porque requiere conocer bien el servidor. Las pruebas de ataque que circulan funcionan sobre todo contra servidores Apache con PHP 8, el tipo más común.

Una empresa potosina, en un sitio de filtraciones

El grupo de ransomware Krybit publicó el 26 de octubre a Grupo Euro (grupoeuro.com.mx) en su sitio de filtraciones, según el rastreador Breachsense, que la clasifica en el sector energía. De acuerdo con publicaciones especializadas en ciberseguridad difundidas en redes sociales, se trata del grupo potosino de las gasolineras Gasomax, Importadora Euro y franquicias de Burger King.

El portal ransomware.live contabiliza 331 contraseñas expuestas vinculadas a la empresa, 70 de ellas críticas, y cita a la firma Hudson Rock, que registra a un empleado y cuatro usuarios infectados con programas que roban credenciales. Krybit se atribuye el ataque sin que hasta ahora la empresa lo haya confirmado, y no hay evidencia pública de que el caso esté ligado a PHP2Shell.

Krybit opera desde marzo de 2026 con un esquema de doble extorsión: roba información, cifra los archivos y amenaza con publicar los datos si no se paga. Sus exigencias van de 40 mil a 100 mil dólares, según la firma Halcyon. Breachsense le cuenta 165 víctimas, nueve de ellas en México.

En agosto, el Supremo Tribunal de Justicia del Estado (STJE) descartó un hackeo a sus sistemas tras la difusión en redes de información del Poder Judicial. En septiembre, la magistrada presidenta Lourdes Anahí Zarazúa Martínez dijo que la auditoría externa apuntaba más a una filtración que a una intrusión.

Argentina: datos de 172 mil estudiantes

Un actor en un foro de la dark web publicó muestras de una base de datos que dice provenir del Sistema Integral de Información Digital Educativa (SINIDE), del Ministerio de Educación de Argentina, con registros de unos 172 mil estudiantes.

Según el actor, cada registro tiene más de 80 campos —nombre, número de Documento Nacional de Identidad (DNI), domicilio, desempeño escolar y datos socioeconómicos—, además de información de unas 1,100 escuelas, 953 directores y credenciales de 21 cuentas de consultores. Afirmó que los datos estaban accesibles sin autenticación.

Analistas que siguen el caso advirtieron que la mayoría de los afectados probablemente son menores de edad, y que sus datos de identidad, hogar y escuela pueden usarse para fraudes y extorsiones dirigidas a sus familias.

La afirmación no está verificada y llegó horas después de otra contra la plataforma Moodle del mismo ministerio. En septiembre, el grupo N0n se atribuyó un ataque a la dependencia, y en julio de 2025 se ofrecieron a la venta 287 mil documentos del ministerio con DNI, correos y domicilios.

La corrección para PHP2Shell ya existe, pero cada institución tiene que instalarla en todos sus servidores y, si estuvo expuesta, cambiar contraseñas y claves y revisar sus registros hacia atrás. Para el usuario común no hay nada que hacer en su teléfono o computadora: la falla vive en los servidores, no en los dispositivos.

Con información de Milenio, CISA, Breachsense, Halcyon, SOC Prime y ransomware.live.

También lee: Auditoría descarta hackeo al Poder Judicial, pero no filtración