Коротко: Исследователи в области безопасности Талал Хадж Бакри и Томми Миск 4 августа 2026 года раскрыли три уязвимости в движке WebKit, через которые любой веб-сайт может получить реальный IP-адрес пользователя, несмотря на включённую функцию iCloud Private Relay. Apple подтвердила, что изучает отчёт, однако дату выхода патча не называет — исправление ожидается осенью 2026 года.
Что такое iCloud Private Relay и почему это важно
iCloud Private Relay — платная функция Apple, доступная подписчикам iCloud+ и Apple One. Она маскирует реальный IP-адрес и DNS-запросы пользователя через двойную переадресацию: первый сервер Apple знает, кто вы, но не знает, куда идёте; второй знает назначение, но не знает, кто вы. В теории ни один из серверов не может построить полную картину активности. Многие iPhone- и Mac-пользователи рассматривают её как удобную альтернативу VPN для повседневного браузинга в Safari.
Проблема в том, что наш блог неоднократно разбирал ситуации, когда одного инструмента не хватает для полноценной защиты. Private Relay — именно такой случай.
Три способа обойти защиту
Исследователи mysk.blog выявили три механизма WebKit, которые работают в обход настроенного прокси.
1. Предзагрузка DNS (DNS prefetching). Браузер заранее разрешает адреса ссылок на странице, пока вы их ещё не открыли. WebKit выполняет эти DNS-запросы через системный DNS-стек устройства, а не через прокси Private Relay. Злоумышленник, контролирующий DNS-сервер, получает реальный IP клиента ещё до клика.
2. WebAuthn Related Origin Requests (Passkeys). Когда сайт запрашивает passkey-аутентификацию для связанного домена, системная служба проверки учётных данных — не сам Safari — загружает файл валидации напрямую с целевого сервера, минуя прокси. Исследователи пояснили: «Любой сайт может настроить WebAuthn так, что WebKit раскроет реальный IP-адрес браузера». При этом никакого взаимодействия пользователя не требуется: достаточно открыть страницу.
3. WebTransport. Новый API для низколатентных двусторонних соединений (HTTP/3 over QUIC). WebKit открывает такое соединение напрямую, используя собственные сетевые настройки, а не параметры текущей сессии с прокси. В итоге сервер видит реальный IP устройства.
Разработчики создали тестовый сайт leaks.psylo.app, где можно проверить, раскрывается ли ваш адрес при включённом Private Relay.
Чем это опасно для обычного пользователя
Главная угроза — деанонимизация. Рекламные платформы, трекеры и злоумышленники могут сопоставить ваш реальный IP с сессией, даже если вы уверены, что скрыты. Особенно это критично, если вы подключаетесь с рабочего места, домашней сети или из публичной точки доступа, которую хотите скрыть. Кроме того, PassKey-уязвимость не требует активного взаимодействия: любая страница с WebAuthn может тихо «засветить» ваш адрес без каких-либо видимых признаков.
Chrome для настольных систем не затронут: он использует собственный сетевой стек, а не WebKit. На мобильных устройствах любой iOS-браузер построен на WebKit и потенциально уязвим. Подробнее о том, как разные инструменты соотносятся по уровню защиты, — на странице возможностей LiMP VPN.
Как защититься прямо сейчас
Пока патча нет, несколько шагов снизят риск.
Во-первых, установите приложение LiMP VPN на iPhone и Mac. Системный VPN туннелирует весь трафик устройства — включая DNS-запросы и соединения WebTransport — через зашифрованный канал. Это принципиально иная архитектура по сравнению с Private Relay: VPN перехватывает трафик до того, как WebKit успевает открыть прямое соединение. Политика no-logs гарантирует, что сам сервис не ведёт журнал ваших визитов.
Во-вторых, отключите DNS prefetch в Safari: «Настройки» → Safari → «Расширенные» → убедитесь, что Preload Top Hit отключён (в iOS 26 настройка может отличаться). В-третьих, обновляйте iOS и macOS сразу после выхода обновлений: патч для этой проблемы ожидается с ближайшим крупным обновлением. Следить за историей обновлений можно в разделе подписки сервиса — там мы всегда указываем актуальные версии поддерживаемых платформ.