1. Thermo Fisher Scientific heeft een beveiligingslek met hoge ernst aangekondigd, getraceerd als CVE-2026-17583, met een CVSS v4.0-score van 8.2. De kwetsbaarheid werd gepubliceerd op 31 juli 2026.
2. Het lek treft meerdere softwareproducten van Applied Biosystems Human Identification (HID) en heeft betrekking op .fsa- en .hid-bestandstypen die door de instrumentatie van Applied Biosystems Human Identification worden gegenereerd. Deze bestanden zijn van cruciaal belang voor forensische laboratoria voor DNA-profilering en identificatiewerkstromen.
3. Indien laboratoriumcontroles worden omzeild, kan een aanvaller de uitvoerbestanden aanpassen voordat ze in de analysesoftware worden geladen, waarbij de wijzigingen vrijwel ondetecteerbaar zijn. Dit kan de integriteit van forensische conclusies en garanties voor de bewaard gebleven keten van bewijs (chain-of-custody) aantasten.
4. De kwetsbaarheid treft specifieke versies van Applied Biosystems dataverzameling en analysesoftware. Dit omvat de 3500/3500xL Series Data Collection Software (versie 4.0.2 en eerder), de 3730/3730xL Series Data Collection Software (versie 5.0.2 en eerder), de SeqStudio Genetic Analyzer Data Collection Software (versie 1.2.5 en eerder), de SeqStudio Flex Series Instrument Software (versie 1.2.0 en eerder), en de GeneMapper ID-X Software (versie 1.7.3 en eerder).
5. Thermo Fisher heeft bijgewerkte versies uitgebracht: 4.0.3, 5.0.3, 1.2.6, 1.2.1, en 1.7.4, respectievelijk. Deze updates introduceren digitale handtekeningen om te verifiëren of een gegevensbestand niet is gewijzigd na het verlaten van het instrument.
6. Gebruikers van het SeqStudio Flex-systeem met Secure Analytics Environment (SAE) ingeschakeld, moeten eerst het nieuwste SAE-profiel installeren voordat ze de update toepassen.
7. Oudere systemen, waaronder de 3130 Series, ABI PRISM 3100/3100-Avant en ABI PRISM 310 Data Collection Software, worden niet meer ondersteund en ontvangen geen patches. Deze systemen blijven permanent kwetsbaar tenzij ze buiten gebruik worden gesteld of geïsoleerd.
8. Voor laboratoria die de update niet onmiddellijk kunnen implementeren of die afhankelijk zijn van platforms van derden, beveelt Thermo Fisher aanvullende compenserende maatregelen aan. Dit omvat het handhaven van een veilige keten van bewijs voor bestanden, het opslaan van gegenereerde bestanden op versleutelde en met wachtwoord beveiligde media, het beperken van bestandstoegang tot geautoriseerd personeel, het toepassen van minimale toegangsrechten op systemen die HID-instrumentatie draaien, en het gebruiken van firewallregels of netwerktoegangslijsten om internettoegang te beperken tot vertrouwde bronnen.
9. Thermo Fisher raadt organisaties aan de beveiligingsupdates zo snel mogelijk toe te passen.
10. Nathan Adams, Kevin Dyer, Laura Gaydosh Combs en de Cybersecurity and Infrastructure Security Agency (CISA) werden erkend voor het identificeren en coördineren van de verantwoorde openbaarmaking van het probleem.