Thermo Fisher Scientific社は、フォレンジック解析ソフトウェアに到達する前にDNA分析の出力結果を改ざんされる恐れのある深刻度「高」の脆弱性に対し、セキュリティアップデートを公開しました。
CVE-2026-17583として追跡されているこの問題は、Applied Biosystems製の一部のヒトDNA鑑定ワークフローに影響し、非常に重要な意味を持つ検査データの完全性(可用性は必ずしも損なわれないものの)を脅かします。
Thermo Fisher社のセキュリティ情報によると、既存の検査室における管理体制が回避された場合、.fsaおよび.hid形式の出力ファイルは、解析ソフトウェアが読み込む前に「ほぼ検知不可能」な方法で改ざんされる可能性があるとしています。
これらの形式は、ヒトDNA鑑定や遺伝子解析に使用される電気泳動データを格納できます。改ざんされたファイルが通常どおり読み込まれ続けてしまうと、その後のレビューやレポート作成、そして証拠保全のための管理連鎖(チェーン・オブ・カストディ)プロセスに対する信頼性が損なわれかねません。
同社はこの脆弱性にCVSS v4.0で8.2、深刻度「高」のスコアを割り当てました。公開されている報道によれば、この脆弱性は2026年5月に報告され、7月31日に公表されたとのことです。Thermo Fisher社は公表時点で悪用は確認されていないとしています。
この勧告では、インターネット経由で悪用可能な手口については触れられておらず、実証コードも公開されていません。その代わり、主な警告内容は、攻撃者や内部関係者が、機器と解析環境の間で保管・転送される出力ファイルを改ざんできてしまう可能性についてのものです。
今回のパッチではデジタル署名機能が導入され、今後はデータファイルが改ざんされていないことを顧客側で検証できるようになります。
修正版は、3500/3500xL Series Data Collection Software、3730/3730xL Series Data Collection Software、SeqStudio Genetic Analyzer Data Collection Software、SeqStudio Flex Series Instrument Software、GeneMapper ID-X Softwareの各製品で提供されています。
検査室は、名称の似た製品へのアップデートで十分と判断せず、正確なバージョン情報とインストーラーをThermo Fisher社から入手する必要があります。
3130 Series、ABI PRISM 3100/3100-Avant、ABI PRISM 310という3つの旧型データ収集製品はすでにサポート終了(EOL)となっており、ベンダーによる修正は提供されません。
これにより、旧型機器に依存している組織、特にエクスポートしたファイルを共有ストレージやリムーバブルメディア、広くアクセス可能なワークステーションに保存している場合には、長期的なリスクが生じることになります。
当面の最優先事項は、サポート対象システムへのパッチ適用と、運用面での展開作業を検証することです。各組織は、機器・データ取得用ワークステーション・解析用ホストの棚卸しを行い、.fsaや.hidファイルが作成・複製・保管されているすべての場所を特定する必要があります。
パッチが未適用の環境については、Thermo Fisher社は多層的な対策を推奨しています。生成されたファイルを暗号化ストレージに保存すること、ファイルのアクセス権限を制限すること、そしてファイアウォールポリシーを通じて信頼できる接続先のみにインターネット接続を限定することです。
セキュリティチームはさらに、機器ネットワークを分離し、検査室の共有領域には最小権限の原則を適用し、ファイル書き込みイベントを監視し、データの移動やアクセスに関する監査可能なログを保持しておくべきです。
SOCの調査における死角を減らすANY.RUNを使えば、脅威をより早期に封じ込め、対応コストと業務への支障を軽減できます。
翻訳元: https://cyberpress.org/thermo-fisher-flaw/
