La corrección firma los archivos nuevos, no su archivo histórico

Quienes lo encontraron estaban leyendo el archivo de salida

Nathan Adams es ingeniero de sistemas en Forensic Bioinformatics Services, en Ohio, y su jornada consiste en revisar análisis de ADN utilizados en causas penales en Estados Unidos, el Reino Unido y Australia. El boletín de seguridad de Thermo Fisher lo cita junto a Kevin Dyer, Laura Gaydosh Combs y la Cybersecurity and Infrastructure Security Agency por haber identificado el problema y coordinado su divulgación. Esa lista de nombres explica cómo apareció el hallazgo. Nadie estaba rastreando internet en busca de equipos expuestos. Alguien que lee archivos de resultados para ganarse la vida miró el archivo con atención.

Lo que establecieron consta ya en el propio boletín de Thermo Fisher, publicado el 31 de julio de 2026. La compañía describe el riesgo de una modificación casi indetectable de los tipos de archivo .fsa y .hid generados por determinado software Applied Biosystems Human Identification. El identificador es CVE-2026-17583, la severidad es alta y la puntuación CVSS v4.0 es 8,2. El boletín precisa en qué punto del flujo de trabajo se sitúa el riesgo: la modificación podría producirse antes de que el archivo se cargue en el software de análisis, si se eluden los controles del laboratorio.

Lo que la solución reconoce en realidad

Conviene leer el párrafo de la solución a media velocidad. Las actualizaciones de seguridad, escribe Thermo Fisher, implementan el uso de firmas digitales para añadir una capa adicional de protección que, en adelante, ayudará a los clientes a verificar que los archivos de datos no han sido modificados. La expresión en adelante hace un trabajo enorme dentro de esa frase, y no es una cautela retórica. Es una descripción exacta de lo que una firma puede hacer.

Una firma digital demuestra que un archivo no ha cambiado desde el instante en que se firmó. No alcanza hacia atrás. Los archivos producidos la semana pasada salieron de un software que no firmaba nada, así que no existe firma con la que compararlos ni forma honesta de que la actualización se la otorgue ahora. El parche cierra el futuro. El archivo histórico queda exactamente igual, y su tamaño depende del tiempo que lleve funcionando el equipo.

Cinco productos reciben parche, tres reciben una frase

La tabla del boletín es breve y merece leerse entera. El software de recogida de datos de las series 3500 y 3500xL en versión 4.0.2 y anteriores pasa a 4.0.3. Las series 3730 y 3730xL en 5.0.2 y anteriores pasan a 5.0.3. El software del SeqStudio Genetic Analyzer en 1.2.5 y anteriores pasa a 1.2.6. El software de instrumento de la serie SeqStudio Flex en 1.2.0 y anteriores pasa a 1.2.1, y quien utilice el Flex con SAE activado debe respetar un orden: primero instalar el perfil SAE más reciente en la SAE Admin Console y después la actualización del equipo. GeneMapper ID-X en 1.7.3 y anteriores pasa a 1.7.4.

Después hay tres filas que dicen otra cosa. El software de recogida de datos de la serie 3130 en 4.1 y anteriores, ABI PRISM 3100 y 3100-Avant en 2.0 y anteriores, y ABI PRISM 310 en 3.1 y anteriores han llegado al final de su vida útil, ya no tienen soporte y no recibirán ninguna actualización. Esos equipos siguen encendiéndose. Siguen produciendo archivos en los que alguien confiará más adelante. El fabricante sencillamente ha dejado de escribir código para ellos, lo que convierte la fecha de fin de vida en una decisión de seguridad sobre sus pruebas, tomada por otra persona.

Sus equipos también escriben pruebas

La mayoría de los empresarios europeos no maneja un analizador genético, y sería cómodo archivar esto como un problema ajeno. Sería malinterpretar de qué trata el hallazgo. Muchísimas empresas corrientes tienen algo que escribe un archivo de resultados propietario que más tarde resuelve una discusión: una máquina de medición por coordenadas, una máquina de ensayo de materiales, un banco de calibración, un banco de emisiones, un registrador ambiental, un sistema de registro de lotes. En un entorno de ensayo acreditado según ISO/IEC 17025, ese registro sin interrupciones no es el papeleo que rodea al producto. Es el producto. Bajo NIS2 una parte importante de los fabricantes y entidades de ensayo europeos entra en el ámbito de aplicación, y la obligación recae sobre el operador, no sobre el fabricante del equipo.

Vuelva a mirar las medidas que Thermo Fisher recomienda a los clientes que no puedan instalar las actualizaciones. Mantener una cadena de custodia segura de los archivos durante todo el flujo de análisis. Guardar los archivos generados en soportes cifrados y protegidos con contraseña. Restringir el acceso al personal autorizado. Aplicar el principio de mínimo privilegio en los sistemas que gobiernan el equipo y alojan el software de análisis. Emplear reglas de cortafuegos y listas de control de acceso a la red para limitar la conectividad a internet a fuentes de confianza. Cada una de esas medidas es sensata, y cada una de ellas es de procedimiento. Regulan quién puede llegar hasta un archivo. Ninguna le dice si los bytes que contiene han cambiado.

Tres preguntas que conviene poner por escrito esta semana

Empiece por el parque de equipos y no por la vulnerabilidad. ¿Cuáles de nuestros equipos firman su salida en el momento de crearla, y cuáles se limitan a dejar un archivo en una carpeta con la que hemos acordado ser cuidadosos? Para los que no firman: ¿cuál es el archivo más antiguo en el que todavía nos apoyaríamos en un litigio, y qué podríamos decir exactamente si la otra parte preguntara cómo sabemos que está inalterado? Y cuáles de nuestros equipos ya han superado el fin de vida del fabricante, porque esa respuesta pertenece al presupuesto de reposición y no al registro de riesgos.

Quien opere el parque de Applied Biosystems tiene el camino inmediato publicado y concreto, y aquí las notas de versión importan más de lo habitual. No es un parche que cierre un puerto ni que elimine una vía de ejecución remota. Cambia, desde el día en que se aplica, la forma en que los archivos merecen confianza, lo que convierte la propia fecha de instalación en una frontera relevante dentro de sus registros. Anote esa fecha en un sitio duradero. Dentro de dos años será la línea que separa los archivos cuya integridad puede demostrar de los archivos por los que solo puede responder.

Leer a continuación: Siemens y Schneider entraron el 22 de julio  |  141.006 pruebas, tres intrusiones reales