A correção assina ficheiros novos, não o seu arquivo

Quem encontrou isto estava a ler o ficheiro de saída

Nathan Adams é engenheiro de sistemas na Forensic Bioinformatics Services, no Ohio, e passa os dias de trabalho a rever análises de ADN utilizadas em processos-crime nos Estados Unidos, no Reino Unido e na Austrália. O boletim de segurança da Thermo Fisher menciona-o juntamente com Kevin Dyer, Laura Gaydosh Combs e a Cybersecurity and Infrastructure Security Agency por terem identificado o problema e coordenado a sua divulgação. Essa lista de nomes explica como surgiu a descoberta. Ninguém andava a varrer a internet à procura de instrumentos expostos. Alguém que lê ficheiros de resultados por profissão olhou com atenção para o ficheiro.

O que apuraram consta agora do próprio boletim da Thermo Fisher, publicado a 31 de julho de 2026. A empresa descreve o risco de uma alteração quase indetetável dos tipos de ficheiro .fsa e .hid gerados por determinado software Applied Biosystems Human Identification. O identificador é CVE-2026-17583, a gravidade é elevada e a pontuação CVSS v4.0 é 8,2. O boletim é preciso quanto ao ponto do fluxo de trabalho onde o risco se situa: a alteração poderia ocorrer antes de o ficheiro ser carregado no software de análise, caso os controlos do laboratório sejam contornados.

O que a correção admite na realidade

Vale a pena ler o parágrafo da solução a meia velocidade. As atualizações de segurança, escreve a Thermo Fisher, implementam a utilização de assinaturas digitais para acrescentar uma camada adicional de proteção que, de agora em diante, ajudará os clientes a verificar que os ficheiros de dados não foram modificados. A expressão de agora em diante faz um trabalho enorme naquela frase, e não é uma cautela retórica. É uma descrição exata daquilo que uma assinatura consegue fazer.

Uma assinatura digital prova que um ficheiro não mudou desde o instante em que foi assinado. Para trás não alcança. Os ficheiros produzidos na semana passada saíram de software que não assinava nada, pelo que não existe assinatura com que os comparar nem forma honesta de a atualização lhes atribuir uma agora. A correção fecha o futuro. O arquivo fica exatamente como estava, e a sua dimensão depende do tempo que o instrumento já leva em funcionamento.

Cinco produtos recebem correção, três recebem uma frase

A tabela do boletim é curta e merece leitura integral. O Data Collection Software das séries 3500 e 3500xL na versão 4.0.2 e anteriores passa para 4.0.3. As séries 3730 e 3730xL em 5.0.2 e anteriores passam para 5.0.3. O SeqStudio Genetic Analyzer Data Collection Software em 1.2.5 e anteriores passa para 1.2.6. O SeqStudio Flex Series Instrument Software em 1.2.0 e anteriores passa para 1.2.1, e quem utilizar o Flex com SAE ativado tem de respeitar uma ordem: instalar primeiro o perfil SAE mais recente na SAE Admin Console e só depois a atualização do instrumento. O GeneMapper ID-X em 1.7.3 e anteriores passa para 1.7.4.

Depois há três linhas que dizem outra coisa. O Data Collection Software da série 3130 em 4.1 e anteriores, o ABI PRISM 3100 e 3100-Avant em 2.0 e anteriores e o ABI PRISM 310 em 3.1 e anteriores chegaram ao fim de vida, deixaram de ter suporte e não receberão qualquer atualização. Esses instrumentos continuam a ligar. Continuam a produzir ficheiros em que alguém, mais à frente, se irá apoiar. O fabricante limitou-se a deixar de escrever código para eles, o que transforma a data de fim de vida numa decisão de segurança sobre as suas provas, tomada por outra pessoa.

Os seus instrumentos também escrevem provas

A maioria dos empresários europeus não opera um analisador genético, e seria cómodo arrumar o assunto como problema alheio. Seria interpretar mal aquilo de que a descoberta trata. Muitíssimas empresas comuns têm em casa algo que escreve um ficheiro de resultados proprietário destinado mais tarde a resolver uma discussão: uma máquina de medição por coordenadas, uma máquina de ensaio de materiais, uma bancada de calibração, uma bancada de emissões, um registador ambiental, um sistema de registo de lotes. Num ambiente de ensaio acreditado segundo a ISO/IEC 17025, esse registo ininterrupto não é a papelada à volta do produto. É o produto. Com a NIS2, uma parte considerável dos fabricantes e organismos de ensaio europeus fica abrangida, e a obrigação recai sobre o operador, não sobre o fabricante do instrumento.

Volte a olhar para as medidas que a Thermo Fisher recomenda aos clientes que não conseguem instalar as atualizações. Manter uma cadeia de custódia segura dos ficheiros ao longo de todo o fluxo de análise. Guardar os ficheiros gerados em suportes cifrados e protegidos por palavra-passe. Restringir o acesso a pessoal autorizado. Aplicar o princípio do privilégio mínimo nos sistemas que comandam o instrumento e alojam o software de análise. Utilizar regras de firewall e listas de controlo de acesso à rede para limitar a ligação à internet a fontes de confiança. Cada uma destas medidas é sensata, e cada uma delas é processual. Determinam quem consegue chegar a um ficheiro. Nenhuma lhe diz se os bytes lá dentro mudaram.

Três perguntas a colocar por escrito esta semana

Comece pelo parque de instrumentos e não pela vulnerabilidade. Quais dos nossos instrumentos assinam a sua saída no momento em que a criam, e quais se limitam a deixar um ficheiro numa pasta que combinámos tratar com cuidado? Para os que não assinam: qual é o ficheiro mais antigo em que ainda nos apoiaríamos num litígio, e o que poderíamos dizer exatamente se a outra parte perguntasse como sabemos que está inalterado? E quais dos nossos instrumentos já ultrapassaram o fim de vida do fornecedor, porque essa resposta pertence ao orçamento de substituição e não ao registo de riscos.

Para quem gere o parque Applied Biosystems, o caminho imediato está publicado e é específico, e aqui as notas de versão pesam mais do que é habitual. Não se trata de uma correção que fecha uma porta ou elimina um caminho de execução remota. Altera, a partir do dia em que é aplicada, o modo como os ficheiros merecem confiança, o que faz da própria data de instalação uma fronteira relevante nos seus registos. Anote essa data num sítio duradouro. Daqui a dois anos será a linha que separa os ficheiros cuja integridade consegue demonstrar dos ficheiros pelos quais apenas consegue responder.

Leia a seguir: Siemens e Schneider entraram a 22 de julho  |  141 006 testes, três invasões reais