פרצות ב-WebKit חושפות את כתובת ה-IP האמיתית גם כש-iCloud Private Relay פעיל
חוקרי Mysk מצאו שלוש תכונות ב-WebKit שעוקפות הגדרות proxy ושולחות תעבורה ישירות מהמכשיר. הן חושפות את כתובת ה-IP גם למי שמשתמש ב-iCloud Private Relay או בדפדפני פרטיות ב-iPhone.
TL;DR בקצרה
- Mysk פרסמה ב-4 באוגוסט 2026 שלוש דליפות ב-WebKit: DNS prefetching, WebAuthn Related Origin Requests ו-WebTransport.
- לפי החוקרים, כל שלוש פוגעות ב-Private Relay ובדפדפני פרטיות ב-iOS כמו Psylo ו-Onion Browser.
- VPN ברמת המערכת לא מושפע, כי הוא מנתב את כל תעבורת המכשיר. Psylo תיקנה את הדליפות בגרסה 1.3.1.
- Apple אמרה ל-404 Media שהיא בוחנת את הדיווח. ב-25 באוגוסט דווח שהדליפה ב-Safari תוקנה בשקט ב-iOS 26.6.1.
iCloud Private Relay אמור להסתיר את כתובת ה-IP שלכם, אבל שלוש תכונות ב-WebKit עוקפות אותו וחושפות את הכתובת האמיתית. החוקרים Tommy Mysk ו-Talal Haj Bakry פרסמו את הממצאים ב-4 באוגוסט 2026. 404 Media אימתה את הדליפה בעצמה. החולשה פוגעת גם בדפדפני פרטיות ב-iPhone, כמו Psylo ו-Onion Browser.
איך Private Relay מדליף את כתובת ה-IP
Private Relay הוא שירות פרטיות בתשלום של Apple. הוא נועד להסתיר את כתובת ה-IP של המשתמש בזמן גלישה. לפי Mysk, התעבורה המוגנת יוצאת דרך נתיב proxy של Safari. שלוש תכונות ב-WebKit שולחות בקשות מחוץ לנתיב הזה.
WebKit הוא מנוע הדפדפן שכל הדפדפנים ב-iOS חייבים להשתמש בו. לכן גם דפדפן שמוסיף שכבות פרטיות חשוף לאותה בעיה.
התכונה הראשונה היא DNS prefetching. הדפדפן בודק מראש את כתובת האתרים שהדף מציין, והבדיקה יוצאת דרך ה-DNS הרגיל של המכשיר. לפי החוקרים, iOS התעלם מהתג הזה עד iOS 26.0, בספטמבר 2025.
השנייה היא WebAuthn Related Origin Requests, מנגנון שקשור ל-passkeys. שירות האישורים של מערכת ההפעלה, ולא Safari, מושך מהאתר דף אימות ישירות מהמכשיר. האתר רואה את ה-IP האמיתי. לפי Mysk, זה קורה גם בלי חלון או פעולה של המשתמש. התכונה זמינה מאז iOS 18.0, בספטמבר 2024. eSecurity Planet מגדירה אותה כבעיה החמורה מבין השלוש.
השלישית היא WebTransport, חיבור מבוסס QUIC ו-HTTP/3. הוא נפתח ישירות מהמכשיר ועוקף את ה-proxy. התכונה הגיעה לציבור ב-iOS 26.4, במרץ 2026.
לפי Mysk, כל שלוש הדליפות פוגעות גם ב-Private Relay. במקרה של הבדיקות המקדימות, הבקשות מדלגות על שירות ה-DNS המוגן של Apple. הבקשות של שתי התכונות האחרות יוצאות מחוץ לנתיב המוגן של Safari.
מה אומרת Apple על Private Relay, ומי חשוף
הדליפה פוגעת בכל דפדפן ב-iOS שמסתמך על הגדרות ה-proxy של WebKit. Mysk מציינת במפורש את דפדפני Tor ל-iOS, ו-404 Media מזכירה את Onion Browser. Psylo, הדפדפן שהחוקרים עצמם פיתחו, הושפע גם הוא. לפי Proton, שמסכמת את הדיווח של 404 Media, Tor Browser הרשמי לא מושפע.
Psylo פרסמה גרסה 1.3.1, שחוסמת את הרמזים של dns-prefetch ומכבה כברירת מחדל את WebTransport ואת WebAuthn. המשתמש יכול להפעיל אותם מחדש בכל אתר. ב-Onion Browser, רמת האבטחה Silver מפעילה Lockdown Mode, שמכבה את WebTransport. לכן היא לא חשופה לדליפה הזו. החוקרים פנו ל-Tor Project ולמפתחי Onion Browser, ולא דווחה תגובה.
Apple אמרה ל-404 Media שהיא בוחנת את הדיווח, לפי eSecurity Planet. לפי צוות Psylo, כך מדווח iPhone in Canada, בדוח שנשלח ל-Apple מופיע הסטטוס ״אנחנו מתכננים לטפל בנושא״. התיקון מתוכנן לסתיו 2026.
זו הפעם השנייה בתוך חודשיים ש-404 Media מדווחת על כשל במוצר פרטיות בתשלום של Apple. ביולי היא דיווחה שתכונת Hide My Email חשפה כתובות מייל אמיתיות במשך מעל שנה.
מה זה אומר עבורכם
- בדקו את המכשיר: היכנסו מהדפדפן שלכם ל-leaks.psylo.app, אתר הבדיקה של החוקרים. אל תניחו ש-Private Relay מסתיר את הכתובת.
- העדיפו VPN ברמת המערכת: לפי Mysk, הוא לא מושפע, כי הוא מנתב את כל תעבורת המכשיר. מי שצריך הגנה חזקה על כתובת ה-IP יסתמך על שכבה כזו.
- עדכנו את הדפדפן: משתמשי Psylo צריכים גרסה 1.3.1 ומעלה. ב-Onion Browser כדאי לבחור ברמת Silver.
- אל תבנו על Private Relay: eSecurity Planet מזכירה שכלי פרטיות ברמת הדפדפן לא מכסה את כל תעבורת המכשיר. מי שמסתיר כך את הכתובת של המשרד או של עובדים צריך להניח שהיא עלולה להיחשף.
- עדכנו את ה-iPhone: לפי CyberInsider, iOS 26.6.1 ו-macOS 26.6.2 סוגרות את הדליפה ב-Safari. דפדפנים אחרים ב-WebKit עדיין עלולים להיות חשופים, ולכן בדקו אותם בנפרד.
מה הלאה
נכון ל-6 באוגוסט 2026 Apple לא הכריזה על תיקון או על לוח זמנים. עד אז, VPN ברמת המערכת או ההגדרות של Psylo הם הדרך היחידה לצמצם את הסיכון.
מה קרה מאז: ב-25 באוגוסט דיווחה CyberInsider ש-Apple סגרה בשקט את הדליפה ב-Safari. הסגירה הגיעה בגרסאות iOS 26.6.1 ו-macOS 26.6.2. לפי Mysk, בגרסת הבטא של 26.6.1 הבעיה עוד הייתה קיימת, ובגרסה הציבורית אי אפשר לשחזר אותה. Apple לא הזכירה את התיקון בהערות השחרור. לפי CyberInsider, דפדפנים אחרים שמבוססים על WebKit עדיין עלולים להיות חשופים.
מקורות והרחבה
- IP and DNS Leaks in WebKit Affecting Proxy Browsers and Apple iCloud Private RelayMysk
- Apple's Private Relay is exposing users' real IP addresses404 Media
- Researchers Find Three Ways Apple Traffic Can Bypass iCloud Private RelayeSecurity Planet
- Researchers Say iCloud Private Relay and iOS Privacy Browsers Are Leaking Your IP AddressiPhone in Canada
- Apple quietly fixes iCloud Private Relay IP leak in SafariCyberInsider
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
