Thermo Fisher: una vulnerabilidad de alta gravedad puede alterar los datos genéticos de los sistemas Applied Biosystems

CVE-2026-17583 afecta a la integridad de los archivos genéticos

Thermo Fisher Scientific presenta una vulnerabilidad en los controles de integridad de los archivos .fsa y .hid generados o gestionados por varios programas de Applied Biosystems. La vulnerabilidad, identificada como CVE-2026-17583, fue detectada el 4 de agosto de 2026.

Un atacante con acceso local al sistema o a los soportes que contienen los archivos podría modificar su contenido sin que el software detecte necesariamente la alteración. Por tanto, los datos resultantes podrían no corresponderse con el material genético analizado.

La vulnerabilidad está clasificada como de gravedad alta, con una puntuación de 8,4 sobre CVSS 3.1 y 8,2 sobre CVSS 4.0. El problema está asociado a CWE-353, que se refiere a la ausencia de mecanismos adecuados para verificar la integridad de los datos.

Software afectado y posibles consecuencias

Las siguientes versiones son vulnerables:

• Applied Biosystems 3500/3500xL Data Collection Software <=4.0.2
• Applied Biosystems 3730/3730xL Data Collection Software <=5.0.2
• SeqStudio Genetic Analyzer Data Collection Software <=1.2.5
• SeqStudio Flex Instrument Software <=1.2.0
• GeneMapper ID-X Software <=1.7.3
• Applied Biosystems 3130 Series Data Collection Software <=4.1
• ABI PRISM 3100/3100-Avant Data Collection Software <=2.0
• ABI PRISM 310 Data Collection Software <=3.1

Estos productos se utilizan en todo el mundo en los sectores sanitario, de salud pública y forense. La manipulación de los archivos podría falsificar perfiles de ADN o generar resultados incorrectos durante análisis clínicos, identificaciones genéticas e investigaciones judiciales.

El vector indicado por CVSS requiere acceso local, pero no privilegios previos ni interacción del usuario. El compromiso puede afectar a la confidencialidad, integridad y disponibilidad de los datos.

Actualizaciones disponibles y medidas temporales

Thermo Fisher ha publicado versiones actualizadas que verifican los archivos mediante firma digital:

• 3500/3500xL: versión 4.0.3
• 3730/3730xL: versión 5.0.3
• SeqStudio: versión 1.2.6
• SeqStudio Flex: versión 1.2.1
• GeneMapper ID-X: versión 1.7.4

Las series 3130, ABI PRISM 3100/3100-Avant y ABI PRISM 310 se encuentran en fin de vida útil (End of Life) y no recibirán correcciones. En estos sistemas, se deben evaluar medidas compensatorias o la sustitución de la plataforma.

Antes de actualizar, las organizaciones deberían mantener una cadena de custodia verificable para los archivos, utilizar soportes cifrados y protegidos mediante contraseña, y limitar el acceso al personal autorizado. También se recomienda aplicar el principio de mínimo privilegio y reducir la conectividad mediante firewalls y ACL de red.