サーモフィッシャー、DNA解析データの「検出不能な改ざん」を可能にする重大な脆弱性を修正

要点

• サーモフィッシャーサイエンティフィックが、DNA解析データファイルを改ざん可能にする脆弱性を修正した。

• 脆弱性が悪用されると、解析ソフトにエラーを出さずにDNAプロファイルを書き換えることができる。

• 修正パッチは主要5製品に提供されるが、サポート終了済みの3つの旧型製品は対象外となる。

• 研究者は、この問題が1995年以降のデータに存在していた可能性を指摘するが、現時点で悪用事例は報告されていない。

• 米科学機器大手のサーモフィッシャーサイエンティフィック（Thermo Fisher Scientific）は、同社の「Applied Biosystems」ブランドのヒト識別用ソフトウェアに存在する、重大な脆弱性に対処する修正パッチを公開した。この脆弱性は、DNAの検査データを分析ソフトウェアが読み込む前に、検出が極めて困難な方法で改ざんすることを可能にするものだという。同社が2026年7月31日に発行したセキュリティ情報で明らかになった。

• 本脆弱性「CVE-2026-17583」は、重要度が「High（高）」、危険度を示すCVSS v4.0（脆弱性の深刻度を評価する標準指標）スコアが「8.2」と評価されている。サーモフィッシャーによると、ラボ内でのファイル管理体制が回避された場合、DNA解析データの出力ファイル形式である「.fsa」および「.hid」に対し、ほぼ検出不可能な形でのデータ改ざんが行われる可能性がある。この問題は、ネイサン・アダムズ（Nathan Adams）氏らの研究チームと米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の協力によって特定された。

• 米紙ウォール・ストリート・ジャーナル（WSJ）の報道によると、システムエンジニアのアダムズ氏は、公開データセットを用いて実際に検証を行った。同氏はAIモデル「Claude」を使い、わずか45分でファイル改ざん用のコードを作成。2人分のDNAデータを合成し、2015年から変更されていないように見せた偽のファイルを生成した。このファイルは、多くのラボで使用されている分析ソフトウェアに警告なしで読み込まれたという。攻撃の実行には、ラボサーバーへのアクセス権とDNA鑑定に関する知識が求められる。

• サーモフィッシャーは、ファイルにデジタル署名を付与して改ざんを検証可能にするセキュリティアップデートをリリースした。対象製品は、3500/3500xL Series（v4.0.2以前）、3730/3730xL Series（v5.0.2以前）、SeqStudio Genetic Analyzer（v1.2.5以前）、SeqStudio Flex Series（v1.2.0以前 ※SAE［セキュリティ・監査・電子署名］機能有効時は最新プロファイル要）、GeneMapper ID-X（v1.7.3以前）の5製品ライン。一方、すでにサポート終了（EOL）を迎えている3130 Series（v4.1以前）、ABI PRISM 3100/3100-Avant（v2.0以前）、ABI PRISM 310（v3.1以前）の3製品には修正プログラムは提供されない。

• アップデートを適用できない場合に対し、同社は証拠保全手続き（チェーン・オブ・カストディ）の維持、暗号化・パスワード保護された媒体での保管、アクセス制限、ネットワーク接続の制限などの代替対策を推奨している。

• 研究者らはWSJに対し、「この脆弱性は1995年以降に作成されたデジタルファイルに存在していた可能性が高い」と指摘しており、過去の改ざんを検出する手段は見つかっていないという。ただしサーモフィッシャーは歴史的影響範囲には言及していない。また、影響を受けるのはデジタルデータのみで、物理的なDNAサンプル自体には影響しない。2026年8月3日時点で、この脆弱性が実際に悪用された事例や、改ざんされたデータが実際の事件捜査や裁判に関連したという公的報告は確認されていない。

• 今回の脆弱性は、刑事裁判などで重要な証拠となるDNAデータの信頼性に関わるものであり、バイオテクノロジー分野におけるデジタルデータの完全性管理の重要性を改めて浮き彫りにした。