De som hittade det läste utdatafilen

Nathan Adams är systemingenjör på Forensic Bioinformatics Services i Ohio, och hans arbetsdagar går åt till att granska DNA-analyser som används i brottmål i USA, Storbritannien och Australien. Thermo Fishers säkerhetsbulletin nämner honom tillsammans med Kevin Dyer, Laura Gaydosh Combs och Cybersecurity and Infrastructure Security Agency för att ha identifierat problemet och samordnat offentliggörandet. Den namnlistan avslöjar hur fyndet kom till. Ingen letade igenom internet efter exponerade instrument. Någon som läser resultatfiler på heltid tittade noga på filen.

Det de fastställde står nu i Thermo Fishers egen bulletin, publicerad den 31 juli 2026. Företaget beskriver en risk för nästan spårlös ändring av filtyperna .fsa och .hid som genereras av viss Applied Biosystems Human Identification-programvara. Beteckningen är CVE-2026-17583, allvarlighetsgraden är hög och CVSS v4.0-poängen är 8,2. Bulletinen är exakt med var i arbetsflödet risken sitter: ändringen kan ske innan filen läses in i analysprogramvaran, om laboratoriets kontroller kringgås.

Vad åtgärden faktiskt medger

Stycket om lösningen förtjänar att läsas i halv fart. Säkerhetsuppdateringarna, skriver Thermo Fisher, inför digitala signaturer som ett extra skyddslager som hädanefter hjälper kunderna att verifiera att datafiler inte har ändrats. Ordet hädanefter uträttar ett enormt arbete i den meningen, och det är ingen brasklapp. Det är en korrekt beskrivning av vad en signatur förmår.

En digital signatur bevisar att en fil inte har ändrats sedan det ögonblick den signerades. Bakåt når den inte. Filer som skapades förra veckan kom ur programvara som inte signerade något, så det finns ingen signatur att jämföra dem med och inget hederligt sätt för uppdateringen att ge dem en nu. Rättningen stänger framtiden. Arkivet står precis som det stod, och dess omfång beror på hur länge instrumentet har varit i drift.

Fem produkter får en rättning, tre får en mening

Tabellen i bulletinen är kort och förtjänar att läsas i sin helhet. Data Collection Software för 3500- och 3500xL-serien i version 4.0.2 och tidigare går till 4.0.3. 3730- och 3730xL-serien i 5.0.2 och tidigare går till 5.0.3. SeqStudio Genetic Analyzer Data Collection Software i 1.2.5 och tidigare går till 1.2.6. SeqStudio Flex Series Instrument Software i 1.2.0 och tidigare går till 1.2.1, och kör ni Flex med SAE aktiverat finns en ordningsföljd: installera först den senaste SAE-profilen i SAE Admin Console, därefter instrumentuppdateringen. GeneMapper ID-X i 1.7.3 och tidigare går till 1.7.4.

Sedan säger tre rader något annat. Data Collection Software för 3130-serien i 4.1 och tidigare, ABI PRISM 3100 och 3100-Avant i 2.0 och tidigare samt ABI PRISM 310 i 3.1 och tidigare har nått slutet av sin livscykel, stöds inte längre och kommer inte att få någon uppdatering. De instrumenten går fortfarande att starta. De producerar fortfarande filer som någon längre fram i kedjan förlitar sig på. Tillverkaren har helt enkelt slutat skriva kod till dem, och därmed blev slutdatumet ett säkerhetsbeslut om era underlag, fattat av någon annan.

Era instrument skriver också bevis

De flesta europeiska ägarledare har ingen genetisk analysator i huset, och det vore bekvämt att lägga saken till handlingarna som någon annans problem. Det vore att missförstå vad fyndet handlar om. Väldigt många helt vanliga företag har något som skriver en tillverkarspecifik resultatfil som senare avgör en tvist: en koordinatmätmaskin, en materialprovningsmaskin, en kalibreringsrigg, en emissionsbänk, en miljöloggare, ett system för satsdokumentation. I en provningsmiljö ackrediterad enligt ISO/IEC 17025 är den obrutna dokumentationen inte pappersarbetet runt produkten. Den är produkten. Under NIS2 omfattas en stor andel europeiska tillverkare och provningsorgan, och skyldigheten ligger hos operatören, inte hos instrumenttillverkaren.

Läs igen de åtgärder Thermo Fisher rekommenderar kunder som inte kan installera uppdateringarna. Upprätthåll en säker chain of custody för filer genom hela analysflödet. Lagra genererade filer på krypterade, lösenordsskyddade medier. Begränsa åtkomsten till behörig personal. Tillämpa minsta behörighet på de system som styr instrumentet och kör analysprogramvaran. Använd brandväggsregler och nätverkslistor för åtkomstkontroll för att begränsa internetanslutningen till betrodda källor. Var och en av dessa åtgärder är förnuftig, och var och en är procedurmässig. De reglerar vem som kan nå en fil. Ingen av dem talar om för er om bytena inuti har ändrats.

Tre frågor som bör ställas skriftligt den här veckan

Börja i instrumentparken i stället för i sårbarheten. Vilka av våra instrument signerar sina utdata i samma ögonblick som de skapas, och vilka lägger bara en fil i en mapp som vi har kommit överens om att hantera varsamt? För dem som inte signerar: vilken är den äldsta fil vi fortfarande skulle stödja oss på i en tvist, och vad skulle vi exakt kunna säga om den om motparten frågade hur vi vet att den är oförändrad? Och vilka av våra instrument har redan passerat leverantörens slutdatum, för det svaret hör hemma i ersättningsbudgeten och inte i riskregistret.

För den som driver Applied Biosystems-parken är den omedelbara vägen publicerad och konkret, och versionsanteckningarna väger tyngre än vanligt här. Detta är ingen rättning som stänger en port eller tar bort en väg för fjärrkörning av kod. Den ändrar från installationsdagen hur filer blir tillförlitliga, vilket gör själva installationsdatumet till en betydelsefull gräns i era underlag. Anteckna det datumet på ett varaktigt ställe. Om två år är det linjen mellan filer vars integritet ni kan visa och filer ni bara kan gå i god för.

Läs vidare: Siemens och Schneider kom med den 22 juli  |  141 006 testkörningar, tre äkta intrång