Thermo Fisher Scientific a annoncé un correctif de sécurité visant l’intégrité des fichiers ADN produits par certains logiciels d’identification humaine d’Applied Biosystems. L’enjeu est clair : des fichiers de données pourraient être modifiés avant que les logiciels d’analyse ne les chargent, ce qui compliquerait la validation des résultats.
D’après le bulletin du 31 juillet, des altérations « presque indétectables » des sorties .fsa et .hid seraient possibles si des contrôles de laboratoire étaient contournés. La vulnérabilité a reçu l’identifiant CVE-2026-17583 et une sévérité High, avec une note CVSS v4.0 de 8,2.
De quoi parle exactement la vulnérabilité ?
Le problème ne concerne pas l’échantillon physique d’ADN, mais les fichiers numériques générés par les machines lors du processus de test. Dans certains scénarios, un attaquant pourrait modifier ces fichiers avant leur traitement par les outils d’analyse.
Le bulletin de Thermo Fisher indique que les fichiers peuvent être altérés avant le chargement dans le logiciel d’analyse. Concrètement, l’objectif des mises à jour est d’empêcher que des données modifiées passent pour des données authentiques.
Le correctif : des signatures numériques pour valider les fichiers
Pour renforcer l’intégrité des fichiers ADN « à l’avenir », Thermo Fisher ajoute une protection basée sur des signatures numériques. L’idée est simple : les clients doivent pouvoir vérifier que les fichiers n’ont pas été modifiés entre la production et l’analyse.
Le bulletin précise que cinq lignes de produits prennent en compte ces mises à jour. En revanche, trois produits en fin de vie ne recevront pas de correctif.
Quels produits sont corrigés ?
Les mises à jour concernent cinq familles de logiciels Applied Biosystems :
- 3500 / 3500xL Series – Data Collection Software 4.0.2 et précédentes : corrigé dans 4.0.3
- 3730 / 3730xL Series – Data Collection Software 5.0.2 et précédentes : corrigé dans 5.0.3
- SeqStudio – Genetic Analyzer Data Collection Software 1.2.5 et précédentes : corrigé dans 1.2.6
- SeqStudio Flex – Instrument Software 1.2.0 et précédents : corrigé dans 1.2.1 ; si SAE (security, audit, electronic signature) est activé, il faut d’abord installer le dernier profil SAE dans l’SAE Admin Console
- GeneMapper ID-X – v1.7.3 et précédentes : corrigé dans v1.7.4
Produits en fin de vie : aucune mise à jour
Trois anciennes lignes ne recevront pas de mise à jour, car elles ont atteint leur fin de vie. Cela signifie que les laboratoires utilisant encore ces versions devront appliquer des mesures compensatoires pour réduire le risque :
- 3130 Series – Data Collection Software 4.1 et précédentes
- ABI PRISM 3100 / 3100-Avant – Data Collection Software 2.0 et précédentes
- ABI PRISM 310 – Data Collection Software 3.1 et précédentes
Ce que Thermo Fisher recommande si vous ne pouvez pas mettre à jour
Thermo Fisher insiste sur l’installation des correctifs applicables. Mais pour les organisations qui ne peuvent pas déployer les mises à jour ou qui utilisent une plateforme d’analyse tierce, le fournisseur propose de renforcer plusieurs contrôles autour du traitement des fichiers.
Parmi les mesures recommandées figurent notamment :
- Assurer la chaîne de custody (traçabilité et conservation des preuves)
- Stocker les fichiers sur des supports chiffrés et protégés par mot de passe
- Réduire l’exposition via des contrôles d’accès
- Appliquer le principe du moindre privilège sur les systèmes d’instrumentation et d’analyse
- Limiter la connectivité Internet aux sources considérées comme fiables
Niveau d’exploitation et état des connaissances
Le bulletin public ne détaille pas l’exploitation de la vulnérabilité. De son côté, Thermo Fisher a indiqué séparément au Wall Street Journal qu’aucun cas d’exploitation n’était connu au moment de ses déclarations.
Au 3 août 2026, les vérifications publiées indiquaient aussi que l’identifiant CVE-2026-17583 n’apparaissait pas, sous forme détaillée, dans les pages publiques de référence consultées à cette date. De plus, il n’était pas répertorié dans le catalogue de Known Exploited Vulnerabilities de la CISA. Enfin, le bulletin du fournisseur n’était pas listé dans l’index mentionné.
Pourquoi cela peut compter pour des laboratoires
Dans des contextes où l’ADN est traité comme élément de preuve, la confiance dans les données est déterminante. Ici, la faiblesse se situe dans la chaîne numérique : si des fichiers peuvent être modifiés avant l’analyse et que les avertissements restent absents, le risque devient autant technique qu’organisationnel.
Le fournisseur souligne que les signatures numériques aideront à vérifier l’état des fichiers « à l’avenir ». Toutefois, le bulletin ne précise pas comment valider rétroactivement des fichiers déjà produits avant l’installation des mises à jour.
Démonstrations de test : des modifications qui passent inaperçues
Le Wall Street Journal a rapporté qu’un ingénieur systèmes, Nathan Adams (Forensic Bioinformatics), a mené des tests à partir d’un jeu de données public. Selon ses observations, la première modification ayant abouti via l’utilisation de Claude a pris environ 45 minutes.
Dans une démonstration présentée au journal, un code a combiné des scans issus de deux profils d’ADN distincts pour produire un fichier censé être resté identique depuis plusieurs années. D’après le récit, le fichier modifié n’aurait pas déclenché d’alertes dans des outils d’analyse utilisés couramment en laboratoire.
Conditions possibles d’accès : ce qu’impliquent les analyses
Le bulletin ne précise pas les exigences exactes d’accès. Néanmoins, les chercheurs rapportés par le journal indiquent qu’un attaquant aurait besoin d’un accès local ou distant aux serveurs du laboratoire, ainsi que d’une compréhension suffisante du fonctionnement des tests ADN et de leurs fichiers.
Cette combinaison de facteurs montre que le risque ne se limite pas à une simple faille logicielle : il dépend aussi des pratiques de sécurité et de l’architecture de l’environnement de laboratoire.
Point important : l’ADN physique vs les enregistrements numériques
Selon les informations rapportées, la faiblesse affecte les enregistrements digitaux générés à partir du processus de test. Autrement dit, il ne s’agit pas, en soi, d’une altération de l’échantillon biologique lui-même. L’attention se porte sur les données utilisées pour l’analyse et potentiellement vers la production de rapports.
Conclusion : agir rapidement pour renforcer l’intégrité des fichiers
Cette annonce de Thermo Fisher met l’accent sur un sujet très concret : l’intégrité des fichiers ADN dépend non seulement de la qualité des instruments, mais aussi de la sécurité des fichiers et des logiciels qui les traitent. En ajoutant des signatures numériques, le correctif vise à rendre les modifications non autorisées plus détectables.
Si votre laboratoire utilise l’une des lignes concernées, la recommandation centrale reste la même : déployez les mises à jour correspondantes. Pour les environnements qui ne peuvent pas migrer, il faut renforcer immédiatement la chaîne de conservation, les contrôles d’accès et la protection des données, afin de réduire l’impact potentiel d’une altération en amont de l’analyse.
Source: https://thehackernews.com/2026/08/thermo-fisher-patches-flaw-that-could.html
