Vulnerabilidad crítica en analizadores genéticos de Thermo Fisher permite la manipulación de datos de ADN

La Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) ha alertado sobre una vulnerabilidad de alta gravedad (CVE-2026-17583) que afecta a diversas plataformas de analizadores genéticos Applied Biosystems de Thermo Fisher. Este fallo de seguridad reside en la "falta de soporte para la comprobación de integridad" en los archivos de salida .fsa y .hid generados por estos equipos.

La ausencia de mecanismos que validen la inalterabilidad de estos archivos permite que, una vez creados, puedan ser editados. Un atacante con acceso al sistema podría modificar los datos de ADN contenidos en ellos, lo que llevaría a resultados de pruebas genéticas inexactos, con las serias implicaciones que esto conlleva en campos como el diagnóstico médico, la medicina forense o la investigación biotecnológica.

Aunque la vulnerabilidad tiene una puntuación CVSSv3 de 8.4, clasificada como ‘ALTA’, y CVSSv4 de 8.2, es importante señalar que no es explotable de forma remota y CISA no ha recibido informes de explotación pública hasta la fecha. No obstante, dado el uso extendido de estos analizadores en el sector de la salud y la sanidad pública a nivel global, el riesgo potencial es considerable.

Thermo Fisher ha desarrollado actualizaciones de seguridad para la mayoría de las versiones de software afectadas, que implementan firmas digitales para añadir una capa adicional de protección y verificar que los archivos de datos no han sido modificados. Estas actualizaciones abordan el problema para series como 3500/3500xL, 3730/3730xL, SeqStudio y GeneMapper ID-X.

Sin embargo, no todos los productos afectados recibirán parches. Algunos modelos más antiguos, como las series Applied Biosystems 3130, ABI PRISM 3100/3100-Avant y ABI PRISM 310 Data Collection Software, han llegado al final de su vida útil (EoL) y, por tanto, no contarán con actualizaciones de seguridad. Para los usuarios de estos equipos, la compañía recomienda la implementación de medidas mitigadoras temporales. Estas incluyen mantener una cadena de custodia segura para los archivos, almacenarlos en medios cifrados y protegidos con contraseña, restringir el acceso solo a personal autorizado, aplicar el principio de mínimo privilegio y utilizar reglas de firewall para limitar la conectividad a internet a fuentes de confianza.

CISA también enfatiza la necesidad de minimizar la exposición en red de los dispositivos de sistemas de control, asegurar que no sean accesibles desde internet y, en caso de requerir acceso remoto, utilizar métodos seguros como redes privadas virtuales (VPN), asegurándose de que estas estén actualizadas.