iCloud Private Relay, la funzione di Safari inclusa negli abbonamenti iCloud+, potrebbe non garantire la protezione promessa. Secondo quanto scoperto dai ricercatori di sicurezza Tommy Mysk e Talal Haj Bakry, il servizio pensato per mascherare l’indirizzo IP e le informazioni DNS durante la navigazione presenterebbe una falla concreta nei confronti dei siti che utilizzano, o fingono di utilizzare, le passkey.
Il problema nasce dal modo in cui WebKit gestisce le procedure legate allo standard WebAuthn, alla base delle passkey: la richiesta viene affidata direttamente al servizio delle credenziali del sistema operativo, che genera la connessione HTTPS senza passare attraverso il proxy configurato da Safari, esponendo così l’indirizzo IP reale del dispositivo al server di destinazione. Un sito malintenzionato potrebbe sfruttare questo meccanismo semplicemente impostando una richiesta WebAuthn con mediazione condizionale, senza alcun prompt visibile né segnale che indichi all’utente cosa sta avvenendo in background.
I due ricercatori hanno individuato anche altre due falle simili all’interno di WebKit, capaci di esporre indirizzi IP e dati DNS: il prefetching DNS introdotto con iOS 26, che rivelerebbe i server DNS reali dell’utente, e WebTransport, aggiunto con iOS 26.4, anch’esso in grado di far trapelare l’IP. Apple ha dichiarato a 404 Media di essere al lavoro sulla verifica della segnalazione, senza fornire per ora una tempistica di risoluzione.
Nel frattempo, chi vuole controllare se il proprio dispositivo risulta esposto può farlo tramite un sito realizzato appositamente da Mysk e Haj Bakry, mentre chi cerca una protezione più solida può valutare l’utilizzo di una VPN, considerando che il problema riguarda il funzionamento stesso di WebKit e coinvolge quindi anche alcuni browser di terze parti basati sullo stesso motore.
