針對雅培公司(以前的St. Jude Medical公司)植入式心臟起搏器中發現的網絡安全漏洞，美國食品和藥物管理局于8月29日發布了固件更新。

它的目標讀者被闡明了。他們是具有射頻(RF)功能的St. Jude Medical植入式起搏器的患者; 具有射頻功能的St. Jude Medical植入式心臟起搏器患者的相關護理人員; 心臟病專家，電生理學家，心胸外科醫生和初級保健醫生使用射頻功能的St. Jude Medical植入式心臟起搏器治療患有心力衰竭或心律失常的患者。

“雅培發布了植入式心臟起搏器的更新，作為其不斷改進患者護理的持續承諾的一部分。此計劃更新起搏器固件(一種軟件)增加了額外的安全保護措施，旨在降低未經授權訪問患者心臟起搏器的風險。 “

雅培8月29日新聞發布會上說，“更新中包含的軟件版本，其中包括數據加密，操作系統補丁和能力禁用網絡連接性的特點，除了固件更新。”

雅培新聞稿還列出了這些產品。

St. Jude Medical網站提供了患者指南常見問題解答的鏈接。

該裝置植入皮膚下有電線(“引線”)進入的心臟，旨在提供起搏慢或不規則的心臟節律。

美國食品和藥物管理局的更新說：“這種通信不適用于任何植入式心臟除顫器(ICD)或心臟再同步化ICD(CRT-Ds)。”

美國食品和藥物管理局解釋說：“2017年8月23日，FDA批準了現在可用的固件更新，旨在作為召回，特別是糾正措施，以降低因某些雅培可能利用網絡安全漏洞而導致患者受到傷害的風險(以前是St. Jude Medical)心臟起搏器。“

與此同時，美國國土安全部的官方網站也發布了8月29日的一份咨詢報告，其中稱“第三方安全研究公司已經證實新的固件版本可以緩解已發現的漏洞。”

在漏洞描述中，國土安全部的顧問表示，他們可以通過相鄰的網絡進行攻擊。“可利用性取決于攻擊者是否足夠靠近目標起搏器以允許射頻通信。”

固件更新從8月29日開始提供，因此從8月28日開始制造的任何心臟起搏器都已經預先加載了設備中的更新，而不需要更新。

“固件基本上是硬件的軟件，對于患者而言，更新應該比為新的防黑客設備進行手術更容易解決，” The Verge的 Natt Garun說。

正如BBC報告所指出的那樣，允許心臟起搏器以無線方式發送和接收數據的好處是患者可以將它們與家中的家用發射器配對，監測患者睡眠時的設備，從而可能提醒他們出現醫療問題。

FDA表示，固件更新需要與醫療保健提供者進行面對面的患者就診。它不能通過Merlin.net從家里完成。DHS顧問還指出，固件更新可以通過醫療保健提供商的Merlin PCS Programmer應用于植入式起搏器。

FDA固件更新說：“安裝此更新后，任何試圖與植入起搏器通信的設備都必須提供授權.Merlin Programmer和Merlin @ home Transmitter將提供此類授權。”

此外，FDA固件更新建議患者和醫療保健提供者在下次定期訪問時討論網絡安全漏洞的風險和益處以及此更新以解決漏洞。

FDA和雅培都不建議預防性切除和更換受影響的設備。

更新涉及一個過程，大約需要3分鐘才能完成設備在備份模式下運行。維持生命的功能仍然存在。完成后，設備將返回其更新前的設置。

來自FDA固件更新通信：“St. Jude Medical已經開發并驗證了此固件更新，作為其所有RF啟動的起搏器設備(包括心臟再同步心臟起搏器)的糾正措施(召回).FDA已批準St. Jude Medical的固件更新，以確保它解決這些網絡安全漏洞，并降低利用和隨后的患者傷害的風險。“

雅培于8月29日表示，它“向醫生通報其植入式心臟起搏器和除顫器的更新，這是其持續改善患者護理的持續承諾的一部分。”