Thermo Fisher Scientific hat eine Sicherheitslücke in Teilen seiner Applied Biosystems-Software für die Humanidentifikation behoben. Hintergrund: Die betroffene Komponente konnte es ermöglichen, dass DNA-Dateien manipulieren lässt, bevor Analyseprogramme die Daten laden. Für Labore ist das besonders sensibel, weil die Integrität der digitalen Ergebnisse für Auswertungen und Dokumentation entscheidend ist.
Im Juli 2026 veröffentlichte der Hersteller ein Security-Bulletin, in dem die Schwachstelle als High eingestuft wird. Die Updates setzen dabei vor allem auf digitale Signaturen, damit veränderte Dateien künftig nachweisbar sind.
Worum es bei der Schwachstelle geht
Laut Thermo Fisher können nahezu unauffällige Änderungen an bestimmten Ausgabeformaten auftreten, wenn die internen Labor-Kontrollen umgangen werden. Konkret betrifft das die Dateiausgaben .fsa und .hid, die im Rahmen der DNA-Analyse erzeugt werden.
Die zentrale Idee der Lücke: Daten können so modifiziert werden, dass sie vom nachgelagerten Analyseprozess zunächst nicht als verändert auffallen. Erst die neuen Mechanismen sorgen dafür, dass Labor- und Prüfketten künftig besser abgesichert sind.
Bewertung, Kennung und Einordnung
Thermo Fisher verfolgt den Vorfall unter der Kennung CVE-2026-17583. Die Schwere wird mit einem CVSS v4.0 Score von 8,2 als High klassifiziert.
In der öffentlichen Mitteilung wird die Schwachstelle als möglicher Pfad beschrieben, über den Datendateien vor dem Laden durch Analyse-Software verändert werden könnten. Das Bulletin geht jedoch nicht detailliert auf konkrete Ausnutzungsabläufe ein.
Welche Updates werden bereitgestellt?
Der Hersteller berichtet, dass fünf unterstützte Produktlinien ein Update erhalten, das digitale Signaturen ergänzt. Damit wird die Verifikation der Dateien verbessert: Künftig sollen Labore erkennen können, ob Daten nach dem Erzeugen verändert wurden.
Für einige Instrument- und Softwarekombinationen gelten dabei spezifische Versionssprünge:
- 3500/3500xL Series Data Collection: Software 4.0.2 und älter, fix in 4.0.3
- 3730/3730xL Series Data Collection: Software 5.0.2 und älter, fix in 5.0.3
- SeqStudio Genetic Analyzer: Data Collection 1.2.5 und älter, fix in 1.2.6
- SeqStudio Flex: Instrument Software 1.2.0 und älter, fix in 1.2.1. Bei aktiviertem SAE müssen Labore vorab das neueste SAE-Profil in der SAE Admin Console installieren.
- GeneMapper ID-X: Version 1.7.3 und älter, fix in 1.7.4
Thermo Fisher weist zudem darauf hin, dass die Signaturen helfen sollen, Dateien ab dem Zeitpunkt der Implementierung besser prüfen zu können.
Was ist mit älteren Produktlinien?
Nicht alle betroffenen Linien erhalten eine Korrektur. Der Hersteller nennt drei ältere Data-Collection-Varianten, die bereits als End-of-Life gelten. Für diese Produkte wird laut Bulletin keine vendorseitige Aktualisierung bereitgestellt.
Genannt werden:
- 3130 Series Data Collection: Version 4.1 und älter
- ABI PRISM 3100/3100-Avant Data Collection: Version 2.0 und älter
- ABI PRISM 310 Data Collection: Version 3.1 und älter
Für Einrichtungen, die solche Software weiterhin nutzen, bleibt damit vor allem der Fokus auf begleitende Sicherheitsmaßnahmen außerhalb des reinen Software-Patches.
Empfohlene Schutzmaßnahmen für Labore
Wenn ein Labor die Updates nicht umsetzen kann oder stattdessen eine andere Drittanbieter-Analyseplattform verwendet, nennt Thermo Fisher mehrere organisatorische und technische Schritte. Ziel ist, das Risiko zu senken, dass DNA-Dateien manipulieren sich unentdeckt in die Prozesskette einschleust.
Zu den empfohlenen Maßnahmen gehören unter anderem:
- Chain of Custody (Nachweis- und Verwahrungskette) konsequent aufrechterhalten
- Datendateien auf verschlüsselten und passwortgeschützten Speichermedien ablegen
- Zugriffe restriktiv steuern und Rechte streng vergeben
- Least Privilege auf Instrument- und Analyse-Systemen anwenden
- die Internetkonnektivität auf vertrauenswürdige Quellen beschränken
Diese Empfehlungen zielen darauf ab, sowohl den Zugriff auf Server und Dateien als auch die Möglichkeiten für unbemerkte Änderungen entlang der Verarbeitungskette zu reduzieren.
Hinweise zu Angriffspraxis und bisherigen Vorfällen
Thermo Fisher schreibt in der öffentlichen Dokumentation, dass die Schwachstelle theoretisch darin liegt, dass Dateien vor dem Laden durch Analyse-Software verändert werden können. Ob und wie genau diese Lücke in der Praxis ausgenutzt werden könnte, bleibt in der Mitteilung offen.
Separat wurde berichtet, dass der Hersteller dem Wall Street Journal mitgeteilt habe, dass keine Fälle bekannt seien, in denen die Schwachstelle ausgenutzt worden wäre. Öffentliche Quellen, die eine bekannte Ausnutzung belegen könnten, wurden zum Zeitpunkt der Veröffentlichung ebenfalls nicht eindeutig nachgewiesen.
Einordnung aus Forschungstests
Das Wall Street Journal berichtete außerdem über Tests durch Nathan Adams, einen Systems Engineer bei Forensic Bioinformatics. Er habe die Schwachstelle mit einem öffentlichen Datensatz untersucht. Laut Bericht dauerte ein erster erfolgreicher Manipulationsversuch etwa 45 Minuten—genaues Vorgehen und technische Details sind dabei nicht vollständig im Bulletin enthalten.
In einer Demo, die dem Bericht zufolge ebenfalls betrachtet wurde, kombinierte Adams Scans aus zwei einzelnen DNA-Profilen zu einer neuen Datei. Diese Datei soll anschließend so gewirkt haben, als wäre sie seit längerer Zeit unverändert geblieben. Zudem habe die modifizierte Datei bei der Analyse keine offensichtlichen Warnmeldungen ausgelöst.
Thermo Fisher nennt allerdings nicht, welche konkreten Zugriffsrechte dafür erforderlich wären. Die Forscher gehen laut Bericht davon aus, dass ein Angreifer lokalen oder Remote-Zugriff auf Labor-Server benötigt und außerdem genug Wissen über die DNA-Test-Workflows mitbringt.
Betroffen sind digitale Datensätze, nicht die Proben
Wichtig für die Risikoabschätzung: Die beschriebenen Probleme beziehen sich auf die digitalen Aufzeichnungen, die aus DNA-Tests entstehen. Thermo Fisher stellt in der Mitteilung klar, dass es um die Datei-Ebene geht—also um die digitalen Datensätze, nicht um die zugrunde liegenden physischen DNA-Proben.
Das bedeutet: Selbst wenn die reale biologische Probe unverändert bleibt, könnten manipulierte digitale Resultate die spätere Auswertung beeinflussen. Genau deshalb sind Signaturen, Verwahrungsketten und Zugriffsmanagement so zentral.
Können bereits erzeugte Dateien nachträglich geprüft werden?
Das Bulletin fokussiert primär auf die bessere Verifikation ab dem Zeitpunkt der aktualisierten Signaturmechanismen. Es wird dabei nicht abschließend beschrieben, wie genau bereits vor dem Update erzeugte Dateien rückwirkend verlässlich validiert werden sollen.
Damit steht für Labore eine praktische Frage im Raum: Wie werden Bestandsdaten bewertet, und welche Nachweise gelten intern und extern für bereits abgeschlossene Fälle? Für die Umsetzung in der eigenen Umgebung kann es sinnvoll sein, die Prozesse zur Datenprüfung entsprechend zu aktualisieren.
Fazit: Jetzt patchen und die Prozesskette absichern
Die Meldung zeigt, dass auch in hochspezialisierten Labor-Workflows DNA-Dateien manipulieren durch eine gezielte Schwachstelle möglich sein kann—insbesondere dann, wenn Kontrollen umgangen werden. Thermo Fisher begegnet dem Risiko mit Updates, die digitale Signaturen ergänzen, damit veränderte Dateien künftig besser erkennbar sind.
Für Labore gilt: Prüfen Sie die eingesetzten Produktlinien, installieren Sie die passenden Versionen und stärken Sie parallel die organisatorischen Schutzmaßnahmen rund um Zugriff, Verwahrung, Verschlüsselung und Netzwerkzugang. So wird die Integrität der digitalen DNA-Ergebnisse deutlich robuster.
Quelle: https://thehackernews.com/2026/08/thermo-fisher-patches-flaw-that-could.html
