Açıklar, 4-5 Ağustos 2026 tarihlerinde güvenlik araştırmacıları Tommy Mysk ve Talal Haj Bakry (Mysk ekibi olarak bilinir) tarafından kamuoyuna duyuruldu. Sorunlar, WebKit tabanlı olan tüm iOS tarayıcılarını ve macOS'taki Safari'yi etkiliyor . 6 Ağustos 2026 itibarıyla Apple henüz herhangi bir yama yayınlamadı .
iCloud Private Relay, Safari trafiğinizi iki ayrı proxy atlaması üzerinden yönlendirerek IP'nizi ve DNS bilgilerinizi hedef web sitesinden gizler. Tam bir cihaz VPN'i değildir; yalnızca Safari içindeki trafiği korur . Yeni keşfedilen bu WebKit hataları, ağ isteklerinin proxy yönlendirmesi uygulanmadan önce tarayıcı sürecinden tamamen çıkmasına izin veriyor. Bu sayede hedef sunucu, relay'in çıkış IP'sini değil, kullanıcının gerçek IP'sini görüyor .
Bir web sitesi passkey'leri desteklediğinde – ya da sadece destekliyormuş gibi yaptığında – iOS'un sistem kimlik bilgisi servisi, doğrulama dosyasını doğrudan cihazın gerçek IP adresinden alır ve Private Relay'in proxy yolunu tamamen baypas eder . Bu istek, Safari tarafından değil, işletim sisteminin kimlik bilgisi yöneticisi tarafından yapıldığı için Private Relay'in korumalı rotasına asla girmez . Herhangi bir web sitesi, kullanıcı etkileşimi olmadan bu sızıntıyı tetikleyebilir; gerçek bir giriş denemesi gerekmez . Mysk durumu şöyle özetliyor: "Kısacası, passkey'leri destekleyen veya destekliyormuş gibi yapan herhangi bir web sitesi, iCloud Private Relay açık olsa bile kullanıcının gerçek IP adresini görebilir" .
WebKit, ana bilgisayar adlarını cihazın normal DNS yolu üzerinden çözümler ve kullanıcının gerçek DNS sunucularını proxy'ninkiler yerine ifşa eder . Bu, Private Relay aktifken bile kullanıcının gerçek IP ve DNS bilgilerini açığa çıkarır . Bir site, benzersiz bir adres yerleştirip DNS isteğinin kullanıcının gerçek ağından geldiğini izleyebilir .
Tarayıcı içinde başlatılan WebTransport oturumları, doğrudan bir HTTP/3 bağlantısı açarak Private Relay'in proxy'sini baypas edebilir ve cihazın gerçek ağ bilgilerini sızdırabilir .
Mysk, herkesin Private Relay açıkken gerçek IP adreslerinin sızıp sızmadığını kontrol edebileceği halka açık bir test sitesi kurdu. TechCrunch, yaptığı testte sitenin gerçek IP adreslerini ortaya çıkarabildiğini doğruladı . Safari'nin ötesinde, bu sorunlar WebKit zorunluluğu nedeniyle OnionBrowser (bir iOS Tor tarayıcısı) ve diğer proxy tabanlı tarayıcıları da etkiliyor .
Apple henüz bir yama yayınlamadığı için tek güvenilir çözüm, WebKit'in proxy ayarlarına bağlı olmayan tam bir cihaz VPN'i kullanmaktır. Üçüncü taraf tarayıcı Psylo, 1.3.1 sürümüyle dns-prefetch ipuçlarını engelleyen ve WebTransport'ı devre dışı bırakan bir geçici çözüm yayınladı .