Falha na Thermo Fisher permitia adulteração quase indetectável de arquivos de perfil de DNA
A Thermo Fisher Scientific corrigiu a CVE-2026-17583, uma vulnerabilidade em seu software de identificação humana Applied Biosystems que permitia alterar arquivos .fsa e .hid antes de serem carregados pelo software de análise, sem deixar sinais visíveis de adulteração. Um pesquisador demonstrou ser possível combinar dados de dois perfis de DNA distintos em um único arquivo que aparentava estar intacto desde 2015, gerando preocupação sobre a integridade de décadas de evidência genética usada em processos criminais.
O problema está na ausência de verificação de integridade nos arquivos de saída dos equipamentos de sequenciamento genético da linha Applied Biosystems: os formatos .fsa (dados brutos de amostra) e .hid (perfil de DNA processado) podiam ser modificados por quem tivesse acesso local ou remoto aos servidores do laboratório, sem qualquer mecanismo — como assinatura digital ou hash — que permitisse ao software de análise detectar a alteração no momento do carregamento.
A demonstração de exploração é particularmente grave do ponto de vista forense: um pesquisador conseguiu mesclar os dados de dois perfis de DNA de indivíduos diferentes em um único arquivo, fazendo-o parecer inalterado desde 2015. Isso significa que, tecnicamente, seria possível inserir, remover ou substituir marcadores genéticos em um laudo já processado — por exemplo, para incriminar ou excluir um suspeito — sem que os softwares de análise atualmente em uso sinalizassem qualquer inconsistência. A CVSS v4.0 atribuída foi 8.2 (alta), refletindo o impacto direto sobre a confiabilidade de evidência usada em julgamentos.
A correção da Thermo Fisher, divulgada em boletim de segurança de 31 de julho, adiciona assinaturas digitais que permitem aos laboratórios clientes verificar se um arquivo de dados foi alterado desde sua geração original. A atualização abrange cinco linhas de produtos; três linhas já descontinuadas não receberão patch, o que deixa um contingente de laboratórios que ainda utilizam esses equipamentos permanentemente expostos, a menos que migrem de plataforma.
O impacto prático mais sensível não é o de um ataque futuro, mas o retroativo: como a falha existe há anos, não há como validar com certeza arquivos .fsa/.hid gerados antes da correção, o que abre uma janela de dúvida sobre a integridade de evidências de DNA usadas em investigações e condenações ao longo de décadas. Isso é exatamente o tipo de cenário que a cadeia de custódia digital tenta prevenir — controles de acesso a servidores de laboratório, hashes de integridade e logs de auditoria tornam-se essenciais para reconstruir se um determinado arquivo pôde ter sido manipulado, mesmo quando o software de análise não indicava problema algum.