Uma vulnerabilidade descoberta no motor WebKit — o núcleo que alimenta o Safari e, por determinação da Apple, todos os navegadores no iOS e macOS — permite que sites arbitrários descubram o endereço IP real do visitante, mesmo quando o iCloud Private Relay está ativo. A descoberta foi feita pelos pesquisadores de segurança Talal Haj Bakry e Tommy Mysk, que identificaram três comportamentos internos do WebKit responsáveis pelo vazamento.
Segundo os pesquisadores, a brecha envolve o pré-carregamento de DNS, solicitações de origem ligadas ao sistema de chaves e conexões diretas de rede — recursos que o WebKit ativa automaticamente para melhorar desempenho, mas que, combinados com técnicas específicas de WebAuthn e WebTransport, permitem que um site configure um fluxo onde o navegador revela o IP do usuário sem qualquer interação visível.
O problema com o Private Relay
O iCloud Private Relay é o recurso de privacidade da Apple que oculta o IP real do usuário ao rotear o tráfego web por dois servidores intermediários. A promessa é que nem a Apple nem o provedor de internet consigam ver ao mesmo tempo o IP do usuário e os sites que ele visita.
A falha contorna essa proteção porque os vetores de ataque atuam em uma camada mais baixa do que o Private Relay opera. Como os pesquisadores descrevem, “qualquer site pode configurar o WebAuthn de uma maneira que faça o WebKit revelar o IP real do navegador” — sem que o usuário perceba ou precise clicar em nada.
Isso tem implicações práticas para quem depende do Private Relay como principal camada de privacidade de navegação: a proteção oferecida pelo recurso pode ser menos robusta do que o esperado em determinados cenários de ataque.
Produtos relacionados:
Oferta · AMAZON Apple iPhone 17 — 256 GB, Preto Ver oferta → 
Oferta · AMAZON Apple iPhone 17 — 256 GB, Lavanda Ver oferta →Por que VPNs são a proteção eficaz aqui
A diferença fundamental entre o Private Relay e uma VPN convencional está na arquitetura. Uma VPN encapsula todo o tráfego de rede no nível do sistema operacional, antes que qualquer aplicativo — incluindo o WebKit — possa fazer conexões diretas. Isso significa que mesmo os vetores de pré-carregamento e WebAuthn explorados pela falha passam pelo túnel VPN, impedindo o vazamento do IP real.
O Private Relay, por outro lado, opera como uma camada de proxy de navegação e não intercepta todos os caminhos que o WebKit pode usar internamente. Por isso, enquanto a Apple não lança uma correção oficial para o WebKit, usar uma VPN é a medida preventiva recomendada pelos próprios pesquisadores.
A Apple confirmou estar investigando o problema, mas não divulgou prazo ou detalhes técnicos sobre a correção. Todos os navegadores no iOS e macOS são afetados — inclusive Chrome, Firefox e Edge — porque a política da App Store exige que usem o motor WebKit da Apple nessas plataformas.
