La correzione firma i file nuovi, non l'archivio

Chi lo ha trovato stava leggendo il file di uscita

Nathan Adams è ingegnere di sistema presso Forensic Bioinformatics Services, in Ohio, e passa le sue giornate a riesaminare analisi del DNA utilizzate in procedimenti penali negli Stati Uniti, nel Regno Unito e in Australia. Il bollettino di sicurezza di Thermo Fisher cita lui insieme a Kevin Dyer, Laura Gaydosh Combs e alla Cybersecurity and Infrastructure Security Agency per avere individuato il problema e coordinato la divulgazione. Quell'elenco di nomi spiega come sia emersa la scoperta. Nessuno stava scandagliando internet alla ricerca di strumenti esposti. Qualcuno che legge file di risultato per mestiere ha guardato il file con attenzione.

Ciò che hanno accertato è ora scritto nel bollettino di Thermo Fisher, pubblicato il 31 luglio 2026. L'azienda descrive il rischio di una modifica quasi impossibile da rilevare dei tipi di file .fsa e .hid generati da determinati software Applied Biosystems Human Identification. L'identificativo è CVE-2026-17583, la gravità è alta e il punteggio CVSS v4.0 è 8,2. Il bollettino precisa in quale punto del flusso di lavoro si colloca il rischio: la modifica potrebbe avvenire prima che il file venga caricato nel software di analisi, qualora i controlli del laboratorio venissero aggirati.

Che cosa ammette davvero il rimedio

Il paragrafo della soluzione va letto a velocità dimezzata. Gli aggiornamenti di sicurezza, scrive Thermo Fisher, introducono l'uso di firme digitali per aggiungere un ulteriore livello di protezione che, d'ora in avanti, aiuterà i clienti a verificare che i file di dati non siano stati modificati. L'espressione d'ora in avanti svolge un lavoro enorme dentro quella frase, e non è una cautela retorica. È una descrizione esatta di ciò che una firma può fare.

Una firma digitale dimostra che un file non è cambiato dall'istante in cui è stato firmato. All'indietro non arriva. I file prodotti la settimana scorsa sono usciti da un software che non firmava nulla, quindi non esiste alcuna firma con cui confrontarli né un modo onesto perché l'aggiornamento gliela attribuisca adesso. La patch chiude il futuro. L'archivio resta esattamente com'era, e la sua dimensione dipende da quanto tempo lo strumento è in funzione.

Cinque prodotti ricevono una patch, tre ricevono una frase

La tabella del bollettino è breve e merita una lettura integrale. Il software di raccolta dati delle serie 3500 e 3500xL in versione 4.0.2 e precedenti passa alla 4.0.3. Le serie 3730 e 3730xL in 5.0.2 e precedenti passano alla 5.0.3. Il software del SeqStudio Genetic Analyzer in 1.2.5 e precedenti passa alla 1.2.6. Il software di strumento della serie SeqStudio Flex in 1.2.0 e precedenti passa alla 1.2.1, e chi usa il Flex con SAE attivo deve rispettare un ordine: prima installare il profilo SAE più recente nella SAE Admin Console, poi l'aggiornamento dello strumento. GeneMapper ID-X in 1.7.3 e precedenti passa alla 1.7.4.

Poi tre righe dicono un'altra cosa. Il software di raccolta dati della serie 3130 in 4.1 e precedenti, ABI PRISM 3100 e 3100-Avant in 2.0 e precedenti e ABI PRISM 310 in 3.1 e precedenti hanno raggiunto la fine del ciclo di vita, non sono più supportati e non riceveranno alcun aggiornamento. Quegli strumenti si accendono ancora. Continuano a produrre file su cui qualcuno più a valle farà affidamento. Il produttore ha semplicemente smesso di scrivere codice per loro, il che rende la data di fine vita una decisione di sicurezza sulle vostre prove, presa da qualcun altro.

Anche i vostri strumenti scrivono prove

La maggior parte degli imprenditori europei non usa un analizzatore genetico, e sarebbe comodo archiviare la vicenda tra i problemi altrui. Significherebbe fraintendere di che cosa parla la scoperta. Moltissime aziende ordinarie hanno in casa qualcosa che scrive un file di risultato proprietario destinato più avanti a chiudere una controversia: una macchina di misura a coordinate, una macchina per prove sui materiali, un banco di taratura, un banco emissioni, un registratore ambientale, un sistema di registrazione dei lotti. In un ambiente di prova accreditato secondo la ISO/IEC 17025 quella registrazione ininterrotta non è la carta attorno al prodotto. È il prodotto. Con la NIS2 una quota rilevante di produttori e organismi di prova europei rientra nell'ambito di applicazione, e l'obbligo ricade sull'operatore, non sul fabbricante dello strumento.

Rileggete le misure che Thermo Fisher raccomanda ai clienti che non possono installare gli aggiornamenti. Mantenere una catena di custodia sicura dei file lungo tutto il flusso di analisi. Conservare i file generati su supporti cifrati e protetti da password. Limitare l'accesso al personale autorizzato. Applicare il principio del privilegio minimo sui sistemi che governano lo strumento e ospitano il software di analisi. Usare regole firewall e liste di controllo degli accessi di rete per limitare la connettività a internet a sorgenti fidate. Ognuna di queste misure è sensata, e ognuna è procedurale. Stabiliscono chi può arrivare a un file. Nessuna vi dice se i byte al suo interno sono cambiati.

Tre domande da mettere per iscritto questa settimana

Partite dal parco strumenti, non dalla vulnerabilità. Quali dei nostri strumenti firmano la propria uscita nel momento in cui la creano, e quali si limitano a depositare un file in una cartella che ci siamo ripromessi di trattare con cura? Per quelli che non firmano: qual è il file più vecchio su cui ci appoggeremmo ancora in una controversia, e che cosa potremmo dire esattamente se la controparte ci chiedesse come sappiamo che è integro? E quali dei nostri strumenti hanno già superato il fine vita del fornitore, perché quella risposta appartiene al budget di sostituzione e non al registro dei rischi.

Per chi gestisce il parco Applied Biosystems il percorso immediato è pubblicato e specifico, e qui le note di rilascio contano più del solito. Non è una patch che chiude una porta o rimuove un percorso di esecuzione remota. Cambia, dal giorno in cui arriva, il modo in cui i file diventano affidabili, e questo rende la data stessa di installazione un confine significativo nei vostri archivi. Annotate quella data in un posto duraturo. Fra due anni sarà la linea che separa i file di cui potete dimostrare l'integrità dai file per i quali potete soltanto mettere la firma vostra.

Da leggere ora: Siemens e Schneider sono entrate il 22 luglio  |  141.006 test, tre intrusioni reali