Thermo Fisher, DNA analizinde kullanılan bazı dosyalarda yapılan değişikliklerin tespitini neredeyse imkânsız hale getirebilecek bir güvenlik açığını kapattı. Şirketin 31 Temmuz tarihli güvenlik bülteninde yer alan bulgu, laboratuvar kontrol mekanizmaları aşılırsa .fsa ve .hid çıktılarının analiz yazılımına fark edilmeden değiştirilebildiğini ortaya koydu.
High olarak sınıflandırılan ve CVSS v4.0 taban puanı 8.2 olan açık, CVE-2026-17583 kimliğiyle izleniyor. Thermo Fisher, beş desteklenen ürün ailesi için dijital imza ekleyen güncellemeler yayımladı; emekliliğe ayrılmış üç eski veri toplama ürünü için ise herhangi bir yama çıkarmayacağını bildirdi. Açığın bulunmasında Nathan Adams, Kevin Dyer ve Laura Gaydosh Combs ile ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın birlikte çalıştığı belirtildi.
Güncellemeler, DNA test ekipmanlarından çıkan dosyaların artık değişip değişmediğinin imza yoluyla doğrulanmasına imkân veriyor. Thermo Fisher, müşterilerden uygun sürümleri vakit kaybetmeden kurmalarını isterken, güncellemeyi uygulayamayan ya da başka bir üçüncü taraf analiz platformuna geçen kurumlar için dosya zinciri, depolama, erişim, ayrıcalık ve ağ bağlantısı üzerinde sıkı kontrol önlemleri önerdi.
Değişiklik analiz yazılımı açılmadan önce yapılabiliyor
Şirketin güvenlik bültenine göre risk, dosyanın analiz yazılımına yüklenmesinden önce başlıyor. Bu nedenle saldırgan, ham DNA kaydını işleyen dosyada değişiklik yapabiliyor; ardından yazılım bunu normal bir girdi gibi kabul edebiliyor. Thermo Fisher’ın eklediği dijital imzalar, bundan sonra oluşturulan dosyalarda veri bütünlüğünü denetlemeyi kolaylaştıracak.
Wired’in kardeş yayını The Wall Street Journal’a konuşan araştırmacılardan Nathan Adams, kamuya açık bir veri kümesi üzerinde deneme yaptığını söyledi. Forensic Bioinformatics’te sistem mühendisi olarak çalışan Adams, Anthropic’in Claude modelini kullanarak yaptığı ilk başarılı dosya değişikliğinin yaklaşık 45 dakika sürdüğünü aktardı. Gazetenin izlediği bir gösterimde ise kodun, iki ayrı DNA profilinden alınan taramaları birleştirerek 2015’ten beri el değmemiş gibi görünen yeni bir dosya ürettiği belirtildi. Değiştirilmiş dosya, birçok laboratuvarda kullanılan analiz yazılımında herhangi bir uyarı üretmedi.
Thermo Fisher, bülteninde saldırı için gereken erişim düzeyini netleştirmedi. Araştırmacılar ise bir saldırganın laboratuvar sunucularına yerel ya da uzaktan erişim elde etmesi ve DNA test süreçlerini yeterince bilmesi gerektiğini söyledi. Kamuya açık duyuruda istismar edildiğine dair bir bulgu yer almazken, şirket ayrı bir açıklamada açığın kötüye kullanıldığına dair bir vakadan haberdar olmadığını da bildirdi.
Beş ürün ailesine yama, üç eski hatta ise destek sonu
Yama alan Applied Biosystems insan kimliklendirme ürünleri arasında 3500/3500xL Series Data Collection Software 4.0.2 ve önceki sürümler bulunuyor; düzeltme 4.0.3 ile geldi. 3730/3730xL Series Data Collection Software 5.0.2 ve öncesi için 5.0.3 yayımlandı. SeqStudio Genetic Analyzer Data Collection Software 1.2.5 ve altı 1.2.6 ile, SeqStudio Flex Series Instrument Software 1.2.0 ve altı 1.2.1 ile düzeltildi. GeneMapper ID-X Software v1.7.3 ve öncesi için de v1.7.4 yayınlandı.
SeqStudio Flex kullanan ve security, audit, and electronic signature yani SAE özelliğini etkinleştiren laboratuvarların ise önce SAE Admin Console üzerinden en güncel SAE profilini yüklemesi gerekiyor. Şirket, üç eski ürün hattının destek ömrünün sona erdiğini ve bunlara artık güncelleme verilmeyeceğini açıkladı. Bu hatlar 3130 Series Data Collection Software 4.1 ve öncesi, ABI PRISM 3100/3100-Avant Data Collection Software 2.0 ve öncesi ile ABI PRISM 310 Data Collection Software 3.1 ve öncesi olarak sıralandı.
Thermo Fisher’ın önerileri arasında dosya zincirinin korunması, dosyaların şifreli ve parola korumalı ortamda saklanması, erişimin sınırlandırılması, cihaz ve analiz sistemlerinde en az ayrıcalık ilkesinin uygulanması ve internet bağlantısının yalnızca güvenilir kaynaklarla sınırlandırılması yer aldı. Şirket, bu korumaların güncellemeyi kuramayan kurumlar için geçici bir çerçeve sunduğunu belirtti.
3 Ağustos 2026 itibarıyla yapılan kontrol, Thermo Fisher bültenini doğruladı ancak CVE-2026-17583 için CVE.org ya da National Vulnerability Database üzerinde ayrı bir kayıt sayfası görünmüyordu. Aynı tarihte kimlik, CISA’nın Known Exploited Vulnerabilities kataloğunda da listelenmiyordu. Thermo Fisher’ın kamuya açık güvenlik bülteni dizininde de 31 Temmuz tarihli not yer almamıştı.
Thermo Fisher, yayımladığı imzaların dosyaları “ileriye dönük” doğrulamaya yarayacağını söylüyor. Bülten, güncelleme öncesinde üretilmiş dosyaların geriye dönük olarak doğrulanıp doğrulanamayacağını ya da laboratuvarların bu dosyaları nasıl kontrol etmesi gerektiğini açıklamıyor. 3 Ağustos 2026 itibarıyla, değiştirilmiş vaka dosyalarıyla bu açık arasında doğrudan bağlantı kuran kamuya açık birincil bir kaynak da bulunmadı.
Araştırmacılar, açığın adli laboratuvar makinelerinin 1995’ten bu yana ürettiği dijital kayıtları etkiliyor olabileceğini, ancak geçmişte bir müdahale yapıldıysa bunu tespit etmenin yolunu bulamadıklarını söyledi. Thermo Fisher ise tarihi kapsamı doğrulamadı. Bildirilen zafiyet fiziksel DNA örneklerini değil, DNA testinden çıkan dijital kayıtları hedef alıyor.
İlgili kimlik kaydı: https://nvd.nist.gov/vuln/detail/CVE-2026-17583