A Thermo Fisher Scientific corrigiu uma falha em versões selecionadas do software de identificação humana Applied Biosystems, que poderia permitir a alteração de arquivos de dados antes que o software de análise os carregasse.
No boletim de segurança divulgado em 31 de julho, a empresa informa que mudanças quase indetectáveis nos resultados .fsa e .hid poderiam ocorrer se os controles do laboratório fossem burlados.
A Thermo Fisher identifica o problema como CVE-2026-17583 e o classifica como Alto, com nota 8,2 na escala CVSS v4.0. Cinco linhas de produtos com suporte receberam atualizações que adicionam assinaturas digitais, enquanto três produtos de coleta de dados fora de linha de vida útil não terão atualização do fabricante.
A empresa credita Nathan Adams, Kevin Dyer e Laura Gaydosh Combs, em conjunto com a Cybersecurity and Infrastructure Security Agency dos Estados Unidos, pela identificação do problema e pela coordenação da divulgação.
A Thermo Fisher orientou os clientes a instalar as atualizações aplicáveis.
Para quem não puder implementá-las ou usar outra plataforma de análise de terceiros, a companhia recomenda controles sobre custódia dos arquivos, armazenamento, acesso, privilégios e conectividade de rede.
O boletim público não trata de exploração da falha, mas a Thermo Fisher disse separadamente ao The Wall Street Journal que não tinha conhecimento de casos em que a vulnerabilidade tivesse sido explorada.
No boletim, a Thermo Fisher afirma que os arquivos podem ser modificados antes de o software de análise carregá-los.
As atualizações implementam assinaturas digitais que, daqui em diante, ajudam os clientes a verificar se os dados não foram alterados.
O Journal informou que Nathan Adams, engenheiro de sistemas da Forensic Bioinformatics, testou o problema usando um conjunto público de dados.
Segundo Adams, sua primeira modificação bem-sucedida de arquivo usando o Claude, da Anthropic, levou cerca de 45 minutos.
Em uma demonstração acompanhada pelo Journal, seu código combinou varreduras de dois perfis de DNA individuais em um novo arquivo que parecia intacto desde 2015.
O arquivo modificado não gerou nenhum aviso no software de análise usado por muitos laboratórios.
O boletim da Thermo Fisher não especifica qual acesso seria necessário.
Os pesquisadores disseram ao Journal que um invasor precisaria de acesso local ou remoto aos servidores de um laboratório e de conhecimento suficiente sobre como funciona o teste de DNA.
As atualizações abrangem cinco linhas de produtos de identificação humana Applied Biosystems:
3500/3500xL Series Data Collection Software 4.0.2 e anteriores, corrigido na 4.0.3
3730/3730xL Series Data Collection Software 5.0.2 e anteriores, corrigido na 5.0.3
SeqStudio Genetic Analyzer Data Collection Software 1.2.5 e anteriores, corrigido na 1.2.6
SeqStudio Flex Series Instrument Software 1.2.0 e anteriores, corrigido na 1.2.1.
Os laboratórios que usam SeqStudio Flex com segurança, auditoria e assinatura eletrônica (SAE) ativadas precisam primeiro instalar o perfil SAE mais recente no Console de Administração SAE
GeneMapper ID-X Software v1.7.3 e anteriores, corrigido na v1.7.4
Três linhas mais antigas não receberão nada: 3130 Series Data Collection Software 4.1 e anteriores, ABI PRISM 3100/3100-Avant Data Collection Software 2.0 e anteriores e ABI PRISM 310 Data Collection Software 3.1 e anteriores.
A Thermo Fisher diz que todas chegaram ao fim de vida útil e não terão atualização.
Para clientes que não puderem implementar as atualizações ou usar outra plataforma de análise de terceiros, a Thermo Fisher recomenda manter a cadeia de custódia, armazenar os arquivos em mídias criptografadas e protegidas por senha, restringir o acesso, aplicar o princípio do menor privilégio nos sistemas dos instrumentos e de análise e limitar a conectividade com a internet apenas a fontes confiáveis.
Em 3 de agosto de 2026, verificações com base no identificador exato encontraram o boletim da Thermo Fisher, mas nenhuma página separada de detalhes no CVE.org ou no National Vulnerability Database para CVE-2026-17583.
O identificador também não aparecia no catálogo Known Exploited Vulnerabilities da CISA.
O índice público de boletins de segurança da Thermo Fisher também não listava o aviso de 31 de julho.
A Thermo Fisher afirma que as assinaturas vão ajudar os clientes a verificar arquivos “daqui em diante”.
O boletim não explica se arquivos gerados antes das atualizações podem ser validados retroativamente nem como os laboratórios devem fazer essa validação.
Os pesquisadores disseram ao Journal que a vulnerabilidade provavelmente existia em arquivos digitais produzidos por máquinas de laboratórios criminais desde 1995 e que não haviam encontrado uma forma de detectar adulterações anteriores, caso tivessem ocorrido.
O boletim da Thermo Fisher não confirma esse alcance histórico.
A fraqueza relatada afeta registros digitais gerados por testes de DNA, não as amostras físicas de DNA em si.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...