Thermo Fisher社のDNA解析ソフトウェアに欠陥、攻撃者が検査データを密かに改ざん可能に

Thermo Fisher Scientificは、同社のApplied Biosystems Human Identification(HID)ソフトウェアに存在する深刻度の高い脆弱性に対し、セキュリティ更新を公開しました。この脆弱性が悪用されると、解析前のDNA検査データファイルがほぼ検知不可能な形で改ざんされるおそれがあります。

セキュリティトレーニングコース

この問題はCVE-2026-17583として追跡されており、CVSS v4スコアは8.2、法科学分野のDNA解析ワークフローで使用される.fsaおよび.hidファイルの出力に影響します。

Thermo Fisher社のDNA解析ソフトウェアの欠陥

この脆弱性は、DNAサンプルそのものを物理的に改変する手段というより、主にデータの完全性に対するリスクとして位置付けられます。研究所の管理体制が突破された場合、攻撃者は解析アプリケーションに読み込まれる前の、装置が生成した出力ファイルを改ざんできる可能性があります。その結果、アプリケーション側で整合性に関する警告が出されないまま、改ざんされたデータが処理されてしまうおそれがあります。

.fsaおよび.hidファイルはApplied Biosystems HID計測機器によって生成され、その後のDNA解析にとって欠かせないものです。この脆弱性により、研究所のワークステーション、サーバー、あるいはファイルリポジトリに適切なアクセス権を持つ悪意ある人物が、ファイル生成から解析までの間にこれらのデジタル出力を改変できてしまう可能性があります。

この脆弱性による影響は、証拠の信頼性が検証可能な保管の連鎖と信頼できるデジタル記録に依存する法科学研究所にとって特に深刻です。

研究者からの報告によれば、改ざんされたファイルは通常の解析ソフトウェア上では変更がないように見える可能性があり、ファイルレベルの改ざんが従来の運用チェックをすり抜けうることを示しています。

2026年8月3日時点で、Thermo Fisher社はこの脆弱性が実際に悪用された事例は確認していないとしています。また、公開されている報告の中にも、この問題に起因して法科学の実際の事件記録が改ざんされたことを示す証拠は見つかっていません。

影響を受けるソフトウェアバージョン

Thermo Fisher社はデジタル署名機能を追加した更新版をリリースしており、これにより研究所は新たに生成されたファイルが改変されていないかを検証できるようになります。以下の製品が影響を受けるため、更新が必要です。

セキュリティ、監査、電子署名機能を利用しているSeqStudio Flex導入環境では、ソフトウェア更新を適用する前に、SAE Admin Consoleを通じて最新のSAEプロファイルをインストールすることが不可欠です。

以下を含むサポート終了製品については、ベンダーによる修正の提供予定はありません。

• 3130 Series Data Collection Software(4.1以前)
• ABI PRISM 3100/3100-Avant Data Collection Software(2.0以前)
• ABI PRISM 310 Data Collection Software(3.1以前)

パッチを適用できない研究所にとっては、代替の管理策を強化することが極めて重要です。文書化された保管の連鎖(チェーン・オブ・カストディ)を維持し、保存媒体を暗号化・パスワード保護し、データディレクトリへのアクセスを制限し、計測機器および解析システムに対して最小権限の原則を徹底し、接続先を信頼できる相手に限定する必要があります。

データ復旧サービス

また、ベンダーの公告は、過去の改ざんの有無を評価する上で、既存の.fsaおよび.hid証拠ファイルの信頼性について、研究所が検討すべき重要な問題も提起しています。

警告:20以上の政府系サイトが企業や市民にマルウェアを配布していました。 攻撃に関する詳細な調査レポートはこちら から、ご自身の環境が影響を受けていないか確認できます。