Im Kern betrifft die Schwachstelle digitale Datensätze aus DNA-Tests, nicht die zugrunde liegenden physischen DNA-Proben. Laut Thermo Fisher konnten Dateien verändert werden, bevor sie von der Analysesoftware eingelesen werden. Der Hersteller schreibt, dass nahezu nicht erkennbare Änderungen an .fsa- und .hid-Ausgaben möglich seien, wenn Kontrollen im Labor umgangen werden.
Thermo Fisher bewertet CVE-2026-17583 als „hoch“ und vergibt einen CVSS-v4.0-Basiswert von 8,2. Die bereitgestellten Aktualisierungen ergänzen digitale Signaturen. Diese sollen laut Hersteller künftig dabei helfen zu verifizieren, dass Datendateien nicht verändert wurden. Ob sich Dateien, die vor den Updates erzeugt wurden, nachträglich validieren lassen und wie Labore dabei vorgehen sollen, erläutert das Bulletin nicht.
Der Wall Street Journal zufolge testete Nathan Adams, Systemingenieur bei Forensic Bioinformatics, die Schwachstelle mit einem öffentlich verfügbaren Datensatz. Adams sagte dem Bericht zufolge, seine erste erfolgreiche Dateimanipulation mit Claude von Anthropic habe etwa 45 Minuten gedauert. In einer vom Journal beobachteten Demonstration kombinierte sein Code Scans aus zwei individuellen DNA-Profilen zu einer neuen Datei, die so wirkte, als sei sie seit 2015 unberührt. In von vielen Laboren genutzter Analysesoftware löste die veränderte Datei keine Warnung aus.
Welche Zugriffsrechte dafür nötig sind, präzisiert Thermo Fishers Bulletin nicht. Die Forscher sagten dem Journal, ein Angreifer benötige lokalen oder entfernten Zugriff auf die Server eines Labors sowie ausreichende Kenntnisse darüber, wie DNA-Tests funktionieren. Das Unternehmen selbst macht in seinem öffentlichen Hinweis keine Angaben zu beobachteter Ausnutzung. Auch in CISAs Katalog der bekannten ausgenutzten Schwachstellen war die Kennung nicht aufgeführt.
Updates gibt es für fünf Produktlinien der Applied-Biosystems-Software für Human Identification. Nicht versorgt werden drei ältere Datenerfassungsprodukte: 3130 Series Data Collection Software 4.1 und früher, ABI PRISM 3100/3100-Avant Data Collection Software 2.0 und früher sowie ABI PRISM 310 Data Collection Software 3.1 und früher. Thermo Fisher begründet das damit, dass alle drei Produkte ihr Lebensende erreicht hätten.
Kunden, die die Updates nicht einspielen können oder keine andere Analyseplattform eines Drittanbieters nutzen, empfiehlt Thermo Fisher zusätzliche Schutzmaßnahmen. Genannt werden eine lückenlose Beweismittelkette, die Speicherung auf verschlüsselten und passwortgeschützten Medien, Zugriffsbeschränkungen, das Prinzip minimaler Rechte auf Instrumenten- und Analysesystemen sowie eine Begrenzung der Internet-Anbindung auf vertrauenswürdige Quellen.
The Hacker News fand per 3. August 2026 zwar das Bulletin von Thermo Fisher, jedoch keine separate Detailseite bei CVE.org oder in der National Vulnerability Database für CVE-2026-17583. Zudem war der Hinweis vom 31. Juli laut dem Bericht auch nicht im öffentlichen Index der Sicherheitsbulletins von Thermo Fisher gelistet. Die Forscher sagten dem Journal außerdem, die Schwachstelle habe wahrscheinlich in digitalen Dateien gesteckt, die seit 1995 von Geräten in Kriminallaboren erzeugt wurden, und sie hätten keinen Weg gefunden, frühere Manipulationen zu erkennen, falls es sie gegeben habe. Thermo Fishers Bulletin bestätigt diesen historischen Umfang jedoch nicht.