45 minutes pour fusionner deux profils ADN dans un seul fichier de preuve

Le 4 août 2026, la CISA a publié l’avis ICSMA-26-216-01 : les fichiers .fsa et .hid produits par les analyseurs génétiques Applied Biosystems pouvaient être modifiés sans laisser de trace. Trois chercheurs ont signalé la faille. L’un d’eux, Nathaniel Adams, a mis quarante-cinq minutes, en s’aidant de Claude, pour fusionner deux profils ADN dans un seul fichier.

Quarante-cinq minutes. C’est le temps qu’il a fallu à Nathaniel Adams, ingénieur système chez Forensic Bioinformatics, pour fusionner deux profils ADN distincts à l’intérieur d’un seul fichier de preuve, sans laisser de trace détectable. Ni effraction, ni intrusion, ni serveur forcé : une démonstration de laboratoire, menée par un spécialiste de bio-informatique forensique qui s’est aidé de Claude, l’assistant d’Anthropic, pour produire le code d’exploitation. Le récit vient du Wall Street Journal, signé Mariah Timms, en août 2026, repris depuis le 3 août par TechRadar, The Hacker News, The Next Web et Gigazine. Le format de fichier visé est en service, selon l’estimation des chercheurs relayée par le journal, depuis 1995. Trente ans.

Il faut nommer précisément l’objet, parce que c’est là que se joue la mesure du problème. Ni les bases de données d’empreintes, ni les scellés, ni les kits de prélèvement. Les logiciels de collecte de données des analyseurs génétiques par électrophorèse capillaire Applied Biosystems, plus le logiciel d’interprétation GeneMapper ID-X. Et, très exactement, les fichiers qu’ils produisent : deux extensions, .fsa et .hid, que personne ne connaît hors des laboratoires et qui constituent la sortie brute de la machine. En amont il y a un écouvillon. En aval il y a un rapport d’expert. Entre les deux il y a ce fichier, et rien d’autre.

CWE-353 · une pièce à conviction sans scellé

L’avis ICSMA-26-216-01, publié par la CISA le 4 août 2026, donne au défaut un identifiant, CVE-2026-17583, et une note : 8.2 en CVSS v4.0, sévérité HIGH. Le vecteur se lit comme une phrase, pour qui sait la lire : AV:L/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:H/SA:N. AV:L, il faut un accès local. PR:N, aucun privilège requis. UI:N, aucune interaction d’un utilisateur. Et deux valeurs hautes seulement, VI:H et SI:H, toutes deux du côté de l’intégrité, aucune du côté de la confidentialité. Ce qui est en jeu n’est donc pas la fuite du fichier. C’est sa modification. La catégorie retenue par la CISA le dit sans détour : CWE-353, Missing Support for Integrity Check. Le logiciel ne vérifiait pas que le fichier qu’il ouvre est bien celui qu’il a écrit. Le principe de Locard veut que tout contact laisse une trace. Ici, le contact avec le fichier n’en laissait aucune.

Selon Laura Gaydosh-Combs, citée par le Wall Street Journal, les fichiers ADN vulnérables n’ont pas le même niveau de marquage inviolable que celui qu’on exige pour un sac en papier.

Trente ans de fichiers, et rien pour regarder en arrière

La date de 1995 n’est pas dans l’avis de la CISA. Elle vient des chercheurs, relayés par le Wall Street Journal, et elle a la forme d’une estimation plutôt que d’un relevé. Elle est cohérente avec un détail de la liste officielle : l’ABI PRISM 310 Data Collection Software y figure encore, en fin de vie. Ce sont donc trois décennies de fichiers .fsa et .hid, produits dans des laboratoires dont la CISA qualifie le déploiement de mondial, secteur Santé et Santé publique, sans nommer un seul pays. Aucune des sources publiques du dossier ne cite la France, ni un laboratoire français. Il faut le dire, parce que l’absence de mention est elle aussi une information.

Reste la phrase qui fait de ce dossier autre chose qu’un bulletin de sécurité de plus. Les chercheurs déclarent n’avoir trouvé aucun moyen de détecter si une falsification a déjà eu lieu sur les fichiers existants. Aucun. Le correctif protège l’avenir, il ne relit pas le passé. Thermo Fisher, dans son bulletin du 31 juillet 2026, indique n’avoir connaissance d’aucun cas d’exploitation et a publié une mise à jour ajoutant des signatures numériques comme couche de protection supplémentaire, en coordination avec la CISA. La CISA écrit de son côté qu’aucune exploitation publique visant spécifiquement cette vulnérabilité ne lui a été signalée à ce jour. Ces deux phrases sont vraies, et elles ne disent pas ce qu’on croit qu’elles disent. Ne connaître aucun cas n’est pas constater l’absence de cas. Surtout quand l’instrument qui permettrait de constater n’existe pas.

Trois appareils qui ne seront jamais corrigés

La liste des produits patchés est longue et précise. La liste des produits qui ne le seront pas tient en trois lignes, et c’est celle qu’il faut lire. 3130 Series Data Collection Software v4.1 et antérieures. ABI PRISM 3100 et 3100-Avant v2.0 et antérieures. ABI PRISM 310 Data Collection Software v3.1 et antérieures. Fin de vie, aucun correctif prévu, selon l’avis de la CISA et la note de Rescana. Un logiciel en fin de vie n’est pas un logiciel éteint : c’est un logiciel dont plus personne ne répond, et qui continue parfois de tourner dans un coin de paillasse parce qu’il fonctionne encore. C’est le point exact où la sécurité informatique cesse d’être une affaire de code pour devenir une affaire de budget.

Trois chercheurs ont trouvé, signalé, attendu le correctif, puis parlé. Nathaniel Adams, Laura Gaydosh-Combs, Kevin Dyer : la procédure a fonctionné comme elle doit fonctionner, et c’est la seule bonne nouvelle du dossier. Le reste tient dans un déplacement. La faille était là depuis le début, ouverte, documentée par sa propre absence de verrou. Ce qui la rendait théorique n’était pas une protection, c’était un coût : il fallait savoir faire. L’outil d’IA n’a pas creusé le trou, il a fait tomber le prix d’entrée. Quarante-cinq minutes, un ingénieur qui connaît son domaine, un assistant qui écrit le code. Et une question qu’aucun correctif ne referme : sur trente ans de fichiers, personne, aujourd’hui, ne dispose du moyen de savoir.