Il 31 luglio 2026 Thermo Fisher Scientific ha rilasciato patch per CVE-2026-17583, una vulnerabilità di alta gravità nei software Applied Biosystems utilizzati nei laboratori forensi e clinici di tutto il mondo. I ricercatori Nathan Adams, Kevin Dyer e Laura Gaydosh-Combs — con coordinazione CISA — hanno dimostrato che i file di output .fsa e .hid potevano essere modificati senza generare allarmi, compromettendo l'integrità di profili genetici apparentemente autentici. La patch introduce firme digitali, ma non esiste metodo per validare retroattivamente i file prodotti dal 1995.
- CVE-2026-17583 ha CVSS v4.0 8.2 e CVSS v3.1 8.4, entrambi classificati HIGH; la CISA assegna la classificazione CWE-353 (Missing Support for Integrity Check)
- I file .fsa e .hid possono essere alterati prima del caricamento nel software di analisi senza che il sistema rilevi la manomissione
- Nathan Adams ha dimostrato la vulnerabilità utilizzando Anthropic's Claude AI per combinare due profili DNA in un file apparentemente inalterato dal 2015, con una prima modifica riuscita in circa 45 minuti
- Tre linee di prodotto end-of-life non ricevono patch: 3130 Series, ABI PRISM 3100/3100-Avant e ABI PRISM 310
Il meccanismo: assenza di integrità in tre decadi di file genetici
La vulnerabilità risiede nell'assenza di verifica di integrità per i file di output dei sequenziatori DNA. Secondo il record CVE-2026-17583 e l'advisory CISA ICSMA-26-216-01, il software Applied Biosystems carica file .fsa e .hid senza validare firme digitali o hash crittografici. Un attore con accesso ai sistemi di laboratorio può alterare i profili genetici prima che il software li processi, generando risultati apparentemente autentici.
Il vector string CVSS v4.0 conferma il profilo di rischio: accesso locale (AV:L), complessità di attacco bassa (AC:L), nessun privilegio richiesto (PR:N), nessuna interazione utente (UI:N), impatto elevato su integrità e disponibilità dei dati (VI:H, VA:H). La CISA dichiara esplicitamente che la vulnerabilità "is not exploitable remotely" — richiede accesso fisico o remoto con credenziali ai server di laboratorio e conoscenza dei workflow di test DNA.
L'uso di Claude AI per costruire la proof of concept
Adams, systems engineer presso Forensic Bioinformatics, ha utilizzato Anthropic's Claude AI per accelerare la costruzione della dimostrazione tecnica. Secondo quanto riportato da The Hacker News citando il Wall Street Journal, "his first successful file modification using Anthropic's Claude took about 45 minutes". La dimostrazione ha prodotto un file che combinava due profili DNA distinti mantenendo metadata apparentemente inalterati dal 2015.
"nearly undetectable changes to .fsa and .hid outputs could occur if laboratory controls are circumvented" — Thermo Fisher security bulletin
La dimostrazione resta in contesto controllato: non emerge che costituisca un proof of concept pubblico o che la tecnica sia stata replicata indipendentemente. La fonte non specifica se la modifica con Claude AI abbia richiesto iterazioni multiple prima del successo, né dettagli sulle protezioni dei sistemi target durante il test.
Cinque patch, tre prodotti abbandonati, zero validazione storica
Thermo Fisher ha rilasciato aggiornamenti con firme digitali per cinque linee di prodotto supportate: 3500/3500xL, 3730/3730xL, SeqStudio, SeqStudio Flex e GeneMapper ID-X. Le versioni corrette sono identificate nelle release notes ufficiali e nell'advisory CISA.
Tre piattaforme end-of-life non ricevono aggiornamenti: 3130 Series, ABI PRISM 3100/3100-Avant e ABI PRISM 310. Questi sistemi restano vulnerabili a manomissione permanente dei file di output. Non emerge dai documenti quanti laboratori forensi o clinici operino ancora con queste piattaforme.
Il gap più significativo riguarda l'assenza di validazione retroattiva. Secondo l'advisory Rescana, "no known method to retroactively validate files generated before the patch, leaving historical data potentially at risk". I ricercatori, citati da WSJ/The Hacker News, affermano che "the vulnerability likely existed in digital files produced by crime-lab machines since 1995 and that they had not found a way to detect prior tampering if it occurred". Il dossier non specifica se questa data di inizio rappresenti una conferma interna di Thermo Fisher o un'inferenza dei ricercatori basata sull'analisi delle versioni software.
Cosa fare adesso
Per i laboratori che operano con sistemi Thermo Fisher Applied Biosystems, le azioni documentate nelle fonti sono le seguenti:
- Applicare immediatamente le patch con firme digitale per le cinque linee di prodotto supportate, seguendo le versioni indicate nelle release notes ufficiali e nell'advisory CISA ICSMA-26-216-01
- Valutare la dismissione o l'isolamento delle tre piattaforme end-of-life non patchate, dato che non esiste fix per la vulnerabilità di integrità
- Rivedere i controlli di accesso ai sistemi di laboratorio: la CISA conferma che l'exploit richiede accesso locale o remoto con credenziali, rendendo la segmentazione della rete e il controllo degli accessi fisici fattori mitiganti primari
- Documentare la catena di custodia dei file .fsa e .hid generati prima della patch, riconoscendo che non esiste metodo tecnico per validarne l'autenticità retroattivamente
Perché il forense digitale non è mai stato forense verificato
La vulnerabilità espone un presupposto implicito durato tre decadi: che la rappresentazione digitale del DNA fosse equivalente al campione biologico. In realtà, la catena di custodia forense si è sempre interrotta al passaggio dal sequenziatore al file system, senza meccanismi di integrità che garantissero l'identità tra i due. La manomissione non tocca il DNA fisico — resta nel dominio della contaminazione di laboratorio — ma ne altera la traccia digitale in modo indistinguibile.
Per il settore cybersecurity, il caso documenta un pattern in crescita: l'intelligenza artificiale generativa riduce il tempo di costruzione di proof of concept per vulnerabilità in infrastrutture critiche non tradizionali. Circa 45 minuti di interazione con un LLM hanno prodotto una modifica file funzionale che avrebbe richiesto settimane di reverse engineering manuale. L'impatto non è sulla velocità degli exploit in the wild — nessuna exploitation è confermata — ma sulla democratizzazione della scoperta di vulnerabilità in sistemi legacy.
Il vero interrogativo aperto resta giudiziario: quanti casi storici hanno riposto su file .fsa o .hid non verificabili? Il dossier non fornisce cifre né metodologie di audit retroattivo. La risposta tecnica — la firma digitale — risolve il problema dal 31 luglio 2026 in poi, lasciando irrisolto tutto il precedente.
La vulnerabilità consente di alterare il DNA fisico?
No. CVE-2026-17583 interessa esclusivamente la rappresentazione digitale in file .fsa e .hd: la modifica non estende ai campioni biologici, ma può produrre risultati di analisi apparentemente autentici che non corrispondono al profilo genetico reale.
Perché i file storici non possono essere validati dopo la patch?
La patch introduce firme digitali calcolate al momento della generazione del file. I file prodotti prima dell'aggiornamento non contengono queste firme, e non esiste metodo crittografico per ricostruirle ex post senza accesso al contenuto originale verificato indipendentemente.
Qual è il rischio concreto per un laboratorio forense oggi?
Il rischio documentato è di integrità: file alterati caricati nel software di analisi generano profili genetici inautentici. La CISA conferma che l'exploit richiede accesso non remoto e conoscenza dei workflow, limitando la superficie di attacco ma non eliminando il vettore insider o post-compromissione.
Fonti
- https://www.rescana.com/post/cve-2026-17583-critical-dna-data-tampering-vulnerability-in-thermo-fisher-applied-biosystems-software
- https://thehackernews.com/2026/08/thermo-fisher-patches-flaw-that-could.html
- https://www.cisa.gov/news-events/ics-medical-advisories/icsma-26-216-01
- https://nvd.nist.gov/vuln/detail/CVE-2026-17583
- https://nvd.nist.gov/vuln/search
- https://www.cve.org/CVERecord?id=CVE-2026-17583
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- https://thehackernews.com/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.