Ci, którzy to znaleźli, czytali plik wyjściowy

Nathan Adams jest inżynierem systemowym w Forensic Bioinformatics Services w Ohio, a jego dni pracy wypełnia weryfikacja analiz DNA wykorzystywanych w sprawach karnych w Stanach Zjednoczonych, Wielkiej Brytanii i Australii. Biuletyn bezpieczeństwa Thermo Fisher wymienia go obok Kevina Dyera, Laury Gaydosh Combs oraz Cybersecurity and Infrastructure Security Agency jako tych, którzy zidentyfikowali problem i skoordynowali jego ujawnienie. Ta lista nazwisk zdradza, jak doszło do odkrycia. Nikt nie przeczesywał internetu w poszukiwaniu wystawionych urządzeń. Ktoś, kto zawodowo czyta pliki wyników, przyjrzał się plikowi uważnie.

To, co ustalili, znalazło się teraz we własnym biuletynie Thermo Fisher, opublikowanym 31 lipca 2026 roku. Firma opisuje ryzyko niemal niewykrywalnej modyfikacji typów plików .fsa i .hid generowanych przez wybrane oprogramowanie Applied Biosystems Human Identification. Identyfikator to CVE-2026-17583, waga jest wysoka, a wynik CVSS v4.0 wynosi 8,2. Biuletyn precyzyjnie wskazuje miejsce ryzyka w przepływie pracy: modyfikacja mogłaby nastąpić, zanim plik zostanie wczytany do oprogramowania analitycznego, o ile dojdzie do obejścia kontroli laboratoryjnych.

Do czego poprawka faktycznie się przyznaje

Akapit o rozwiązaniu warto przeczytać na pół gwizdka. Aktualizacje bezpieczeństwa, pisze Thermo Fisher, wprowadzają podpisy cyfrowe jako dodatkową warstwę ochrony, która odtąd pomoże klientom sprawdzać, że pliki danych nie zostały zmienione. Słowo odtąd wykonuje w tym zdaniu ogromną pracę i nie jest asekuracją. Jest trafnym opisem tego, co podpis potrafi.

Podpis cyfrowy dowodzi, że plik nie zmienił się od chwili złożenia podpisu. Wstecz nie sięga. Pliki powstałe w zeszłym tygodniu wyszły z oprogramowania, które niczego nie podpisywało, nie ma więc podpisu do porównania ani uczciwego sposobu, by aktualizacja nadała im go teraz. Poprawka zamyka przyszłość. Archiwum zostaje dokładnie takie, jakie było, a jego rozmiar zależy od tego, jak długo urządzenie już pracuje.

Pięć produktów dostaje poprawkę, trzy dostają zdanie

Tabela w biuletynie jest krótka i warto przeczytać ją w całości. Data Collection Software serii 3500 i 3500xL w wersji 4.0.2 i wcześniejszych przechodzi na 4.0.3. Serie 3730 i 3730xL w 5.0.2 i wcześniejszych przechodzą na 5.0.3. SeqStudio Genetic Analyzer Data Collection Software w 1.2.5 i wcześniejszych przechodzi na 1.2.6. SeqStudio Flex Series Instrument Software w 1.2.0 i wcześniejszych przechodzi na 1.2.1, a kto używa Flexa z włączonym SAE, musi zachować kolejność: najpierw zainstalować najnowszy profil SAE w SAE Admin Console, dopiero potem aktualizację urządzenia. GeneMapper ID-X w 1.7.3 i wcześniejszych przechodzi na 1.7.4.

Potem trzy wiersze mówią coś innego. Data Collection Software serii 3130 w 4.1 i wcześniejszych, ABI PRISM 3100 i 3100-Avant w 2.0 i wcześniejszych oraz ABI PRISM 310 w 3.1 i wcześniejszych osiągnęły koniec cyklu życia, nie są już wspierane i nie otrzymają żadnej aktualizacji. Te urządzenia nadal się włączają. Nadal produkują pliki, na których ktoś dalej w procesie polega. Producent po prostu przestał pisać dla nich kod, przez co data zakończenia wsparcia stała się decyzją bezpieczeństwa dotyczącą waszych dowodów, podjętą przez kogoś innego.

Wasze urządzenia też zapisują dowody

Większość europejskich właścicieli firm nie prowadzi analizatora genetycznego i wygodnie byłoby odłożyć tę sprawę jako cudzy problem. Byłoby to jednak niezrozumienie, o czym to odkrycie mówi. Bardzo wiele zwykłych firm ma u siebie coś, co zapisuje własny plik wyniku mający później rozstrzygnąć spór: współrzędnościową maszynę pomiarową, maszynę wytrzymałościową, stanowisko wzorcowania, hamownię emisyjną, rejestrator środowiskowy, system dokumentacji partii. W środowisku badawczym akredytowanym według ISO/IEC 17025 ten nieprzerwany zapis nie jest papierologią wokół produktu. On jest produktem. Pod rządami NIS2 znaczna część europejskich producentów i jednostek badawczych mieści się w zakresie regulacji, a obowiązek spoczywa na operatorze, nie na producencie urządzenia.

Spójrzcie jeszcze raz na środki, które Thermo Fisher zaleca klientom niemogącym zainstalować aktualizacji. Utrzymywać bezpieczny łańcuch nadzoru nad plikami w całym przepływie analizy. Przechowywać wygenerowane pliki na zaszyfrowanych nośnikach chronionych hasłem. Ograniczyć dostęp do upoważnionego personelu. Stosować zasadę minimalnych uprawnień na systemach sterujących urządzeniem i obsługujących oprogramowanie analityczne. Używać reguł zapory i sieciowych list kontroli dostępu, aby ograniczyć łączność internetową do zaufanych źródeł. Każdy z tych środków jest rozsądny i każdy z nich jest proceduralny. Regulują, kto może sięgnąć po plik. Żaden nie powie wam, czy bajty w środku się zmieniły.

Trzy pytania, które w tym tygodniu warto zadać na piśmie

Zacznijcie od parku urządzeń, a nie od podatności. Które z naszych urządzeń podpisują swoje wyjście w chwili jego powstania, a które jedynie zostawiają plik w folderze, co do którego umówiliśmy się na ostrożność? Dla tych, które nie podpisują: jaki jest najstarszy plik, na którym wciąż opieralibyśmy się w sporze, i co dokładnie moglibyśmy o nim powiedzieć, gdyby druga strona zapytała, skąd wiemy, że jest niezmieniony? I które z naszych urządzeń przekroczyły już koniec wsparcia producenta, bo ta odpowiedź należy do budżetu wymiany, a nie do rejestru ryzyka.

Kto zarządza parkiem Applied Biosystems, ma opublikowaną i konkretną ścieżkę, a informacje o wydaniu mają tu większe znaczenie niż zwykle. To nie jest poprawka zamykająca port ani usuwająca ścieżkę zdalnego uruchomienia kodu. Od dnia instalacji zmienia sposób, w jaki pliki stają się wiarygodne, przez co sama data instalacji staje się istotną granicą w waszej dokumentacji. Zapiszcie tę datę w trwałym miejscu. Za dwa lata będzie to linia oddzielająca pliki, których nienaruszalność potraficie wykazać, od plików, za które możecie jedynie ręczyć.

Czytaj dalej: Siemens i Schneider trafiły tam 22 lipca  |  141 006 testów, trzy prawdziwe włamania