Falha no WebKit expõe IP real de usuários do Private Relay, da Apple
Pesquisadores descobriram três brechas no motor de navegação WebKit que permitem revelar o endereço IP real de usuários do iCloud Private Relay, mesmo com o recurso ativado. A Apple já reconheceu o problema, mas só promete corrigi-lo no outono de 2026.
Por Redação tech & talk · Curadoria assistida por IA, revisão humana
O que foi descoberto
Os pesquisadores de segurança Talal Haj Bakry e Tommy Mysk, da Mysk Blog, identificaram três falhas no WebKit — o motor de navegação usado obrigatoriamente por todos os navegadores no iOS — que permitem expor o endereço IP real de usuários do iCloud Private Relay, recurso da Apple que promete mascarar o IP ao navegar na web. A divulgação foi publicada em 4 de agosto de 2026 e repercutida pela TechCrunch no dia seguinte.
Como o vazamento acontece
Foto: reprodução/mysk.blog
Três funcionalidades do WebKit contornam o proxy configurado pelo Private Relay e enviam tráfego diretamente do dispositivo, expondo a rede real do usuário. A primeira envolve o WebAuthn Related Origin Requests (passkeys): quando um site suporta, ou apenas afirma suportar, passkeys, o dispositivo faz uma solicitação de credencial pelo próprio sistema operacional, não pelo Safari, pulando o proxy. A segunda é o DNS Prefetching, recurso adicionado ao WebKit no iOS 26 que resolve nomes de host fora do caminho do proxy. A terceira é o WebTransport, introduzido no iOS 26.4, que abre uma conexão HTTP/3 direta que também contorna o proxy.
Alcance do problema
Como todo navegador no iOS é obrigado a usar o WebKit, as falhas não se limitam ao Safari: também afetam navegadores de terceiros que dependem da API de configuração de proxy da Apple, incluindo alguns navegadores baseados em Tor. O Private Relay funciona apenas no nível do navegador — não do sistema — e está disponível somente para assinantes do iCloud+.
Foto: reprodução/macrumors.com
Por que os pesquisadores não reportaram antes
Mysk e Haj Bakry decidiram divulgar publicamente sem aguardar correção da Apple, citando experiências anteriores marcadas por meses de atrasos, comunicação inconsistente e, em alguns casos, a própria empresa negando o impacto do problema.
Resposta da Apple
Em um relatório de segurança apresentado por Mysk à Apple, a empresa classificou a questão como grave e respondeu que planeja corrigi-la no outono do hemisfério norte de 2026, sem detalhar um cronograma mais preciso. A Apple não respondeu de imediato ao pedido de comentário da TechCrunch. Os pesquisadores criaram um site, leaks.psylo.app, que permite a qualquer usuário testar em tempo real se seu dispositivo está vazando o IP real mesmo com o Private Relay ativado.