Ceux qui l'ont trouvé lisaient le fichier de sortie

Nathan Adams est ingénieur systèmes chez Forensic Bioinformatics Services, dans l'Ohio, et ses journées consistent à réexaminer des analyses ADN utilisées dans des affaires pénales aux États-Unis, au Royaume-Uni et en Australie. Le bulletin de sécurité de Thermo Fisher le cite aux côtés de Kevin Dyer, de Laura Gaydosh Combs et de la Cybersecurity and Infrastructure Security Agency pour avoir identifié le problème et coordonné sa divulgation. Cette liste de noms dit comment la découverte s'est faite. Personne ne scrutait internet à la recherche d'instruments exposés. Quelqu'un dont le métier est de lire des fichiers de résultats a regardé le fichier de près.

Ce qu'ils ont établi figure désormais dans le bulletin de Thermo Fisher, publié le 31 juillet 2026. L'entreprise y décrit un risque de modification quasi indétectable des types de fichiers .fsa et .hid générés par certains logiciels Applied Biosystems Human Identification. L'identifiant est CVE-2026-17583, la sévérité est élevée et le score CVSS v4.0 s'établit à 8,2. Le bulletin précise où se situe le risque dans le flux de travail: la modification pourrait intervenir avant le chargement du fichier dans le logiciel d'analyse, si les contrôles du laboratoire sont contournés.

Ce que le correctif concède réellement

Le paragraphe de la solution mérite une lecture à mi-vitesse. Les mises à jour de sécurité, écrit Thermo Fisher, mettent en œuvre des signatures numériques pour ajouter une couche de protection supplémentaire qui, désormais, aidera les clients à vérifier que les fichiers de données n'ont pas été modifiés. Le mot désormais accomplit un travail considérable dans cette phrase, et ce n'est pas une précaution rhétorique. C'est une description exacte de ce qu'une signature sait faire.

Une signature numérique prouve qu'un fichier n'a pas changé depuis l'instant où il a été signé. Elle ne remonte pas le temps. Les fichiers produits la semaine dernière sont sortis d'un logiciel qui ne signait rien: il n'existe donc aucune signature à laquelle les comparer, ni moyen honnête pour la mise à jour de leur en attribuer une. Le correctif ferme l'avenir. Les archives restent exactement telles quelles, et leur volume dépend de la durée de service de l'instrument.

Cinq produits reçoivent un correctif, trois reçoivent une phrase

Le tableau du bulletin est court et mérite d'être lu en entier. Le logiciel de collecte de données des séries 3500 et 3500xL en version 4.0.2 et antérieures passe en 4.0.3. Les séries 3730 et 3730xL en 5.0.2 et antérieures passent en 5.0.3. Le logiciel du SeqStudio Genetic Analyzer en 1.2.5 et antérieures passe en 1.2.6. Le logiciel d'instrument de la série SeqStudio Flex en 1.2.0 et antérieures passe en 1.2.1, et si vous exploitez le Flex avec SAE activé il existe un ordre à respecter: installer d'abord le profil SAE le plus récent dans la SAE Admin Console, puis la mise à jour de l'instrument. GeneMapper ID-X en 1.7.3 et antérieures passe en 1.7.4.

Trois lignes disent ensuite autre chose. Le logiciel de collecte de données de la série 3130 en 4.1 et antérieures, ABI PRISM 3100 et 3100-Avant en 2.0 et antérieures, et ABI PRISM 310 en 3.1 et antérieures ont atteint leur fin de vie, ne sont plus pris en charge et ne recevront aucune mise à jour. Ces instruments s'allument toujours. Ils produisent toujours des fichiers sur lesquels quelqu'un s'appuiera plus loin dans la chaîne. Le fabricant a simplement cessé d'écrire du code pour eux, ce qui fait de la date de fin de vie une décision de sécurité portant sur vos preuves, prise par quelqu'un d'autre.

Vos instruments écrivent aussi des preuves

La plupart des dirigeants européens n'exploitent pas d'analyseur génétique, et il serait commode de ranger l'affaire parmi les problèmes des autres. Ce serait se méprendre sur ce que révèle la découverte. Quantité d'entreprises ordinaires possèdent un équipement qui écrit un fichier de résultat propriétaire appelé plus tard à trancher un différend: une machine à mesurer tridimensionnelle, une machine d'essai des matériaux, un banc d'étalonnage, un banc d'émissions, un enregistreur environnemental, un système de dossiers de lot. Dans un environnement d'essai accrédité selon l'ISO/IEC 17025, cet enregistrement ininterrompu n'est pas la paperasse autour du produit. Il est le produit. Avec NIS2, une large part des fabricants et organismes d'essai européens entre dans le champ d'application, et l'obligation pèse sur l'exploitant, non sur le fabricant de l'instrument.

Relisez les mesures que Thermo Fisher recommande aux clients qui ne peuvent pas installer les mises à jour. Tenir une chaîne de conservation sécurisée des fichiers tout au long du flux d'analyse. Stocker les fichiers générés sur des supports chiffrés et protégés par mot de passe. Restreindre l'accès au personnel autorisé. Appliquer le moindre privilège sur les systèmes qui pilotent l'instrument et hébergent le logiciel d'analyse. Utiliser des règles de pare-feu et des listes de contrôle d'accès réseau pour limiter la connectivité internet à des sources de confiance. Chacune de ces mesures est judicieuse, et chacune est procédurale. Elles déterminent qui peut atteindre un fichier. Aucune ne vous dit si les octets qu'il contient ont changé.

Trois questions à poser par écrit cette semaine

Commencez par le parc plutôt que par la vulnérabilité. Lesquels de nos instruments signent leur sortie au moment de la créer, et lesquels se contentent de déposer un fichier dans un dossier que nous avons convenu de traiter avec soin? Pour ceux qui ne signent pas: quel est le fichier le plus ancien sur lequel nous nous appuierions encore dans un litige, et que pourrions-nous dire exactement si la partie adverse demandait comment nous savons qu'il est intact? Et lesquels de nos instruments ont déjà dépassé la fin de vie du fournisseur, car cette réponse relève du budget de remplacement et non du registre des risques.

Pour qui exploite le parc Applied Biosystems, la marche à suivre immédiate est publiée et précise, et les notes de version comptent ici plus que d'habitude. Ce n'est pas un correctif qui ferme un port ou supprime un chemin d'exécution à distance. Il modifie, dès le jour de son installation, la manière dont les fichiers deviennent dignes de confiance, ce qui fait de la date d'installation elle-même une frontière significative dans vos archives. Notez cette date dans un endroit durable. Dans deux ans, ce sera la ligne qui sépare les fichiers dont vous pouvez démontrer l'intégrité de ceux dont vous pouvez seulement vous porter garant.

À lire ensuite: Siemens et Schneider sont entrés le 22 juillet  |  141 006 tests, trois intrusions réelles