สรุปสั้น
บริษัท Thermo Fisher Scientific ปล่อยแพตช์ปิดช่องโหว่ในซอฟต์แวร์ระบุตัวบุคคลตระกูล Applied Biosystems บางรุ่น ซึ่งเปิดทางให้ไฟล์ข้อมูลถูกดัดแปลงได้ก่อนที่ซอฟต์แวร์วิเคราะห์จะโหลดไฟล์เหล่านั้นขึ้นมา โดยประกาศด้านความปลอดภัยของบริษัทที่ออกเมื่อวันที่ 31 กรกฎาคมระบุว่า การเปลี่ยนแปลงผลลัพธ์ไฟล์นามสกุล .fsa และ .hid อาจเกิดขึ้นในลักษณะที่แทบตรวจจับไม่ได้ หากมาตรการควบคุมภายในห้องปฏิบัติการถูกหลบเลี่ยง บริษัทติดตามปัญหานี้ในรหัส CVE-2026-17583 และให้ระดับความรุนแรงเป็น High ด้วยคะแนน CVSS v4.0 ที่ 8.2
ผลิตภัณฑ์ 5 สายที่ยังได้รับการสนับสนุนได้รับอัปเดตที่เพิ่มกลไกลายเซ็นดิจิทัลเข้าไป ขณะที่ผลิตภัณฑ์เก็บข้อมูลอีก 3 สายซึ่งหมดอายุการสนับสนุนแล้วจะไม่ได้รับอัปเดตจากผู้ผลิตเลย บริษัทให้เครดิตแก่นาย Nathan Adams, นาย Kevin Dyer และนาง Laura Gaydosh Combs ร่วมกับหน่วยงาน CISA ของสหรัฐฯ ในการค้นพบปัญหาและประสานการเปิดเผย พร้อมเร่งให้ลูกค้าติดตั้งอัปเดตที่เกี่ยวข้อง ส่วนลูกค้าที่ไม่สามารถติดตั้งอัปเดตหรือเปลี่ยนไปใช้แพลตฟอร์มวิเคราะห์จากผู้ให้บริการรายอื่นได้ บริษัทแนะนำให้ใช้มาตรการควบคุมที่ครอบคลุมทั้งการดูแลห่วงโซ่การครอบครองไฟล์ การจัดเก็บ การเข้าถึง สิทธิ์ และการเชื่อมต่อเครือข่าย ทั้งนี้ประกาศสาธารณะไม่ได้กล่าวถึงการถูกโจมตีจริง แต่บริษัทแจ้งแยกต่างหากกับหนังสือพิมพ์ The Wall Street Journal ว่าไม่ทราบว่ามีกรณีใดที่ช่องโหว่นี้ถูกนำไปใช้โจมตี
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 3 สิงหาคม พ.ศ. 2569 ว่า ในประกาศด้านความปลอดภัย บริษัท Thermo Fisher ระบุว่าไฟล์ข้อมูลสามารถถูกแก้ไขได้ก่อนที่ซอฟต์แวร์วิเคราะห์จะโหลดขึ้นมา และอัปเดตที่ปล่อยออกมาได้เพิ่มลายเซ็นดิจิทัลเข้าไปเพื่อช่วยให้ลูกค้าตรวจสอบได้ว่าไฟล์ข้อมูลไม่ถูกเปลี่ยนแปลง โดยใช้คำว่าการตรวจสอบนี้ทำได้ “นับจากนี้เป็นต้นไป”
หนังสือพิมพ์ The Wall Street Journal รายงานว่า นาย Nathan Adams วิศวกรระบบจาก Forensic Bioinformatics ได้ทดสอบปัญหานี้โดยใช้ชุดข้อมูลสาธารณะ และระบุว่าการแก้ไขไฟล์สำเร็จครั้งแรกของเขาซึ่งใช้ Claude ของบริษัท Anthropic ช่วยเขียนโค้ด ใช้เวลาราว 45 นาที ในการสาธิตที่ผู้สื่อข่าวได้เห็น โค้ดของเขารวมผลสแกนจากโปรไฟล์ DNA ของบุคคล 2 รายเข้าเป็นไฟล์ใหม่ที่ดูเหมือนไม่ถูกแตะต้องมาตั้งแต่ปี 2558 และไฟล์ที่ถูกดัดแปลงนั้นไม่ทำให้ซอฟต์แวร์วิเคราะห์ที่ห้องปฏิบัติการจำนวนมากใช้กันแสดงคำเตือนใด ๆ ออกมาเลย
ประกาศของบริษัทไม่ได้ระบุว่าการโจมตีต้องอาศัยสิทธิ์เข้าถึงระดับใด แต่คณะนักวิจัยบอกกับหนังสือพิมพ์ว่า ผู้โจมตีจำเป็นต้องเข้าถึงเซิร์ฟเวอร์ของห้องปฏิบัติการได้ไม่ว่าจะจากในเครื่องหรือจากระยะไกล และต้องมีความรู้เรื่องกระบวนการตรวจ DNA มากพอสมควรด้วย ซึ่งหมายความว่านี่ไม่ใช่ช่องโหว่ที่ผู้โจมตีทั่วไปจะใช้ได้ทันที แต่เป็นความเสี่ยงที่มีนัยสำคัญสำหรับผู้ที่มีสิทธิ์เข้าถึงอยู่แล้วหรือมีแรงจูงใจเฉพาะเจาะจง
จุดที่ต้องระบุให้ชัดคือข้อจำกัดของข้อมูลสาธารณะ ณ วันที่ 3 สิงหาคม พ.ศ. 2569 การตรวจสอบด้วยรหัสที่ตรงกันของ The Hacker News พบเพียงประกาศของบริษัท Thermo Fisher แต่ไม่พบหน้ารายละเอียดของ CVE-2026-17583 บนเว็บไซต์ CVE.org หรือฐานข้อมูล National Vulnerability Database และรหัสดังกล่าวก็ไม่ปรากฏในบัญชีช่องโหว่ที่ถูกใช้โจมตีจริง (KEV) ของ CISA อีกทั้งหน้าดัชนีประกาศด้านความปลอดภัยสาธารณะของบริษัทเองก็ยังไม่ได้ระบุประกาศฉบับวันที่ 31 กรกฎาคมนี้ด้วย
รายละเอียดช่องโหว่
อัปเดตครอบคลุมผลิตภัณฑ์ระบุตัวบุคคลตระกูล Applied Biosystems จำนวน 5 สาย ได้แก่ 3500/3500xL Series Data Collection Software เวอร์ชัน 4.0.2 และเก่ากว่า แก้ไขแล้วใน 4.0.3 · 3730/3730xL Series Data Collection Software เวอร์ชัน 5.0.2 และเก่ากว่า แก้ไขแล้วใน 5.0.3 · SeqStudio Genetic Analyzer Data Collection Software เวอร์ชัน 1.2.5 และเก่ากว่า แก้ไขแล้วใน 1.2.6 · SeqStudio Flex Series Instrument Software เวอร์ชัน 1.2.0 และเก่ากว่า แก้ไขแล้วใน 1.2.1 โดยห้องปฏิบัติการที่ใช้ SeqStudio Flex พร้อมเปิดใช้ระบบความปลอดภัย การตรวจสอบ และลายเซ็นอิเล็กทรอนิกส์ (SAE) ต้องติดตั้งโปรไฟล์ SAE ล่าสุดบน SAE Admin Console ก่อน · และ GeneMapper ID-X Software เวอร์ชัน 1.7.3 และเก่ากว่า แก้ไขแล้วใน 1.7.4
ส่วนผลิตภัณฑ์เก่าอีก 3 สายจะไม่ได้รับอะไรเลย ได้แก่ 3130 Series Data Collection Software เวอร์ชัน 4.1 และเก่ากว่า, ABI PRISM 3100/3100-Avant Data Collection Software เวอร์ชัน 2.0 และเก่ากว่า และ ABI PRISM 310 Data Collection Software เวอร์ชัน 3.1 และเก่ากว่า โดยบริษัทระบุว่าแต่ละสายหมดอายุการสนับสนุนแล้วและจะไม่ได้รับอัปเดตใด ๆ ซึ่งหมายความว่าห้องปฏิบัติการที่ยังใช้เครื่องรุ่นเหล่านี้อยู่ต้องพึ่งพามาตรการควบคุมเชิงกระบวนการเพียงอย่างเดียว
ประเด็นที่ควรทำความเข้าใจให้ตรงกันคือ ช่องโหว่นี้ไม่ได้เกิดกับตัวอย่าง DNA ทางกายภาพ แต่เกิดกับบันทึกดิจิทัลที่ได้จากการตรวจ DNA เท่านั้น กล่าวคือหลักฐานทางชีวภาพต้นทางยังคงตรวจซ้ำได้หากยังมีตัวอย่างเหลืออยู่ แต่ไฟล์ผลลัพธ์ที่เก็บไว้ในระบบอาจเชื่อถือไม่ได้หากถูกดัดแปลง
ผลกระทบ
ผู้ที่รับความเสี่ยงคือห้องปฏิบัติการนิติวิทยาศาสตร์และระบบยุติธรรมที่อาศัยไฟล์ผลตรวจ DNA เป็นหลักฐาน เพราะสิ่งที่ถูกกระทบไม่ใช่ความลับของข้อมูล แต่เป็น “ความถูกต้องแท้จริง” ของหลักฐาน ซึ่งเป็นคุณสมบัติที่กระบวนการยุติธรรมพึ่งพาโดยตรง การที่ไฟล์ถูกแก้แล้วซอฟต์แวร์วิเคราะห์ไม่แสดงคำเตือนใด ๆ หมายความว่าความผิดปกติจะไม่ถูกจับได้ในขั้นตอนการทำงานตามปกติ
ขอบเขตเชิงเวลาเป็นประเด็นที่หนักที่สุด คณะนักวิจัยบอกกับหนังสือพิมพ์ว่า จุดอ่อนนี้น่าจะมีอยู่ในไฟล์ดิจิทัลที่ผลิตโดยเครื่องมือของห้องปฏิบัติการอาชญากรรมมาตั้งแต่ปี 2538 และพวกเขายังไม่พบวิธีตรวจจับการดัดแปลงที่อาจเกิดขึ้นไปแล้วในอดีต อย่างไรก็ตาม ประกาศของบริษัท Thermo Fisher ไม่ได้ยืนยันขอบเขตทางประวัติศาสตร์ดังกล่าว จึงต้องถือว่าตัวเลขปี 2538 เป็นการประเมินของนักวิจัย ไม่ใช่ข้อมูลที่ผู้ผลิตรับรอง
ช่องว่างที่ยังไม่มีคำตอบคือ ลายเซ็นดิจิทัลที่เพิ่มเข้ามาช่วยยืนยันไฟล์ได้ “นับจากนี้เป็นต้นไป” แต่ประกาศไม่ได้อธิบายว่าไฟล์ที่สร้างขึ้นก่อนการอัปเดตจะตรวจสอบย้อนหลังได้หรือไม่ และห้องปฏิบัติการควรตรวจสอบอย่างไร ที่สำคัญ The Hacker News ระบุว่า ณ วันที่ 3 สิงหาคม พ.ศ. 2569 ยังไม่พบแหล่งข้อมูลปฐมภูมิสาธารณะใดที่เชื่อมโยงคดีที่มีการดัดแปลงหลักฐานจริงเข้ากับช่องโหว่นี้ ความเสี่ยงที่พูดถึงจึงยังเป็นความเสี่ยงเชิงศักยภาพ ไม่ใช่ความเสียหายที่พิสูจน์แล้ว
คำแนะนำ
ห้องปฏิบัติการที่ใช้ผลิตภัณฑ์ในรายการควรติดตั้งอัปเดตที่เกี่ยวข้องโดยเร็ว และสำหรับผู้ใช้ SeqStudio Flex ที่เปิดใช้ระบบ SAE ต้องติดตั้งโปรไฟล์ SAE ล่าสุดบน SAE Admin Console ก่อนจึงจะอัปเดตซอฟต์แวร์เครื่องมือได้ ส่วนห้องปฏิบัติการที่ยังใช้ผลิตภัณฑ์ 3 สายที่หมดอายุการสนับสนุน ควรวางแผนเปลี่ยนไปใช้แพลตฟอร์มที่ยังได้รับการดูแล เพราะจะไม่มีแพตช์ตามมาอีก
สำหรับผู้ที่ยังติดตั้งอัปเดตไม่ได้หรือไม่ได้ใช้แพลตฟอร์มวิเคราะห์จากผู้ให้บริการรายอื่น บริษัท Thermo Fisher แนะนำมาตรการควบคุมชุดหนึ่ง ได้แก่ การรักษาห่วงโซ่การครอบครองไฟล์อย่างเคร่งครัด การจัดเก็บไฟล์บนสื่อที่เข้ารหัสและป้องกันด้วยรหัสผ่าน การจำกัดสิทธิ์เข้าถึง การใช้หลักสิทธิ์น้อยที่สุดบนระบบเครื่องมือและระบบวิเคราะห์ และการจำกัดการเชื่อมต่ออินเทอร์เน็ตให้เหลือเฉพาะแหล่งที่เชื่อถือได้
ในเชิงกระบวนการ ห้องปฏิบัติการควรพิจารณาเก็บค่าแฮชของไฟล์ผลลัพธ์ไว้แยกต่างหากตั้งแต่วินาทีที่ไฟล์ถูกสร้าง และเก็บไว้ในระบบที่แยกสิทธิ์จากระบบที่เก็บไฟล์จริง เพื่อให้มีจุดอ้างอิงสำหรับตรวจสอบความถูกต้องย้อนหลังได้แม้กับไฟล์ที่สร้างก่อนมีลายเซ็นดิจิทัล พร้อมทั้งทบทวนว่าใครมีสิทธิ์เข้าถึงเซิร์ฟเวอร์ที่เก็บไฟล์ผลตรวจบ้าง เพราะเงื่อนไขสำคัญของการโจมตีคือการมีสิทธิ์เข้าถึงระบบของห้องปฏิบัติการอยู่แล้ว