Il 31 luglio 2026 Thermo Fisher Scientific ha pubblicato un security bulletin per CVE-2026-17583, una vulnerabilità di alta gravità (CVSS v4.0: 8.2) nei suoi sistemi Applied Biosystems per l'analisi del DNA. Il difetto consente di alterare i file digitali .fsa e .hid prima del caricamento nel software di analisi, senza che l'applicazione segnali alcuna anomalia. La scoperta, coordinata con il CISA e condotta dai ricercatori Nathan Adams, Kevin Dyer e Laura Gaydosh Combs del gruppo Forensic Bioinformatics, solleva una questione più vasta: circa trent'anni di prove digitali forensi non sono mai stati protetti da validazione crittografica.
- CVE-2026-17583 ha un punteggio CVSS v4.0 di 8.2: i file .fsa e .hid possono essere modificati prima dell'analisi senza generare warning nel software Thermo Fisher.
- Nathan Adams ha dimostrato la modifica con l'AI Claude di Anthropic in circa 45 minuti, combinando due profili DNA in un file che appariva inalterato dal 2015.
- La patch introduce firme digitali solo per i file nuovi, escludendo la validazione retroattiva di tre decenni di evidenze potenzialmente esposte.
- Cinque product line ricevono aggiornamenti; tre linee End-of-Life non saranno corrette, lasciando sistemi operativi senza mitigazione ufficiale.
Il meccanismo: fiducia implicita sui formati dei primi anni Novanta
I formati .fsa e .hid risalgono almeno al 1995, quando la strumentazione Applied Biosystems ha iniziato a digitalizzare l'output dell'analisi del DNA forense. Questi file contengono i profili genetici estratti dai campioni biologici, ma — secondo il security bulletin di Thermo Fisher citato dalle fonti primarie — il software di analisi li accetta senza verificare integrità o autenticità. L'analisi si limita a controllare la struttura formale del file, non la sua provenienza o l'eventuale alterazione intermedia.
Questa architettura ha senso in un laboratorio fisicamente isolato degli anni Novanta, dove la catena di custodia passava attraverso controlli procedurali e accesso fisico. Non resiste invece a un attore con accesso al server di laboratorio e conoscenza del workflow di testing DNA, la condizione di accesso documentata per questa vulnerabilità. Secondo Rescana, la modifica risulta "quasi indetectable" — un aggettivo che le fonti riportano direttamente dal bulletin del vendor.
La dimostrazione: 45 minuti con un modello di linguaggio
Il ricercatore Nathan Adams ha reso pubblica una proof-of-concept realizzata con Anthropic Claude. La prima modifica file riuscita ha richiesto circa 45 minuti di interazione con il modello AI. Adams ha combinato scansioni da due profili DNA individuali in un nuovo file che il software Thermo Fisher ha accettato senza warning, presentandolo come un documento inalterato dal 2015.
Il dato temporale è rilevante: se il file modificato appare coerente con una generazione di dieci anni fa, nessun controllo interno al software può evidenziare l'anomalia. Le fonti non documentano se altri strumenti forensi esterni al software Thermo Fisher possano rilevare il tampering, e il dossier segnala esplicitamente che "non esistono metodi noti per validare retroattivamente i file generati prima della patch".
"Digital signatures will help customers verify files 'moving forward'" — Thermo Fisher Security Bulletin, 31 luglio 2026
La patch: protezione prospettica, buco storico
Thermo Fisher ha rilasciato aggiornamenti per cinque product line: 3500/3500xL, 3730/3730xL, SeqStudio, SeqStudio Flex e GeneMapper ID-X. Tre linee rimangono senza patch — 3130 Series, ABI PRISM 3100/3100-Avant e ABI PRISM 310 — perché dichiarate End-of-Life dal vendor. Il bulletin, come riportato da The Hacker News, specifica che le firme digitali aiuteranno i clienti a verificare i file "moving forward", senza alcuna indicazione su meccanismi di validazione per il parco storico.
Questa scelta architetturale non è tecnicamente sorprendente: aggiungere firme a file già generati richiederebbe una firma ex post con una chiave di cui non si può garantire la custodia storica. Il risultato pratico è però un'asimmetria di fiducia. I file DNA digitali prodotti dal 1995 al 31 luglio 2026 non dispongono di alcuna attestazione crittografica di integrità. Nessuna exploitation in the wild è stata confermata al 3 agosto 2026, ma la stessa assenza di validazione rende impossibile verificare retrospettivamente se manipolazioni siano occorse in casi giudiziari passati.
Cosa fare adesso
Le fonti primarie convergono su alcune azioni prioritarie per i laboratori che operano con questa strumentazione:
- Aggiornare immediatamente le cinque product line supportate al firmware e alle versioni software indicate nel bulletin Thermo Fisher del 31 luglio 2026.
- Per le tre linee End-of-Life non patchate, valutare la dismissione o l'isolamento in segmenti di rete con controlli di accesso rafforzati, dato che nessun fix ufficiale è previsto.
- Rivisionare le procedure di catena di custodia digitale per i file .fsa e .hid in archivio, documentando il gap di validazione come elemento di rischio nelle relazioni forensi.
- Le procura e le difese legali che hanno fatto affidamento su analisi DNA basate su file digitali devono valutare la riapertura di verifiche specifiche dove l'integrità del file fosse stata assunta implicitamente.
La "forensic debt" dei formati scientifici legacy
Il caso CVE-2026-17583 non è isolato nel panorama tecnologico. Crisi analoghe hanno attraversato le macchine per il voto elettronico (dove formati proprietari senza hash crittografico hanno reso impossibile ricontare automaticamente), i dispositivi medicali (dove firmware decennale ha ereditato trust model obsoleti) e i sistemi SCADA industriali. La differenza qui è il contesto giudiziario: il DNA forense gode di un'aura di oggettività scientifica che il digitale smonta quando la catena di custodia mostra un anello mancante.
L'uso di un modello AI per generare la proof-of-concept accelera la narrazione pubblica, ma non è il nucleo tecnico del problema. Il difetto strutturale — assenza di autenticazione file — precede di decenni l'esistenza dei large language model. Claude ha abbassato il costo della dimostrazione, non creato la vulnerabilità. Questa distinzione è rilevante per chi dovrà valutare se il rischio sia emergente o semplicemente finalmente visibile.
Domande frequenti
I campioni DNA fisici sono a rischio?
No. La vulnerabilità riguarda esclusivamente i file digitali .fsa e .hid, non il materiale biologico originale. L'alterazione avviene nella rappresentazione digitale del profilo, non nel campione in sé.
Può essere verificato se un file storico è stato modificato?
Secondo le fonti, non esiste metodo noto per validare retroattivamente i file generati prima della patch del 31 luglio 2026. Le firme digitali introdotte sono valide solo per i documenti prodotti successivamente.
Perché il CVE non compare nel catalogo CISA KEV?
Il catalogo Known Exploited Vulnerabilities del CISA elenca le vulnerabilità con exploitation confermata in the wild. Al 3 agosto 2026, fonti primarie e supporting concordano nell'assenza di exploitation confermata, coerente con la non inclusione in KEV.
Fonti
- https://www.rescana.com/post/cve-2026-17583-critical-dna-data-tampering-vulnerability-in-thermo-fisher-applied-biosystems-software
- https://thehackernews.com/2026/08/thermo-fisher-patches-flaw-that-could.html
- https://dailysecurityreview.com/resources/thermo-fisher-patches-dna-file-tampering-flaw-cve-2026-17583/
- https://gbhackers.com/thermo-fisher-dna-analysis-software-flaw/
- https://www.secnews.gr/en/725222/cve-2026-17583-thermo-fisher-eypatheiadn/
- https://nvd.nist.gov/vuln/detail/CVE-2026-17583
- https://nvd.nist.gov/vuln/search
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- https://thehackernews.com/
- https://thehackernews.com/p/upcoming-hacker-news-webinars.html
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.