Private Relay d'Apple fuit l'IP réelle via des failles WebKit

Une faille dans la fonctionnalité Private Relay d'Apple peut exposer l'adresse IP réelle d'un utilisateur lors de la navigation avec Safari, ont révélé des chercheurs le 5 août 2026.

Cet outil optionnel, disponible pour les abonnés iCloud+, est conçu pour masquer les adresses IP dans Safari, contrairement à un VPN qui fonctionne à l'échelle du système.

Talal Haj Bakry et Tommy Mysk ont détaillé le problème dans un article de blog le 5 août 2026 et ont mis en place un site web où les utilisateurs peuvent tester les fuites d'adresse IP.

TechCrunch a confirmé le 5 août 2026 que le site de test révélait son adresse IP réelle.

Le problème provient de trois fonctionnalités de WebKit, le moteur de navigateur utilisé par tous les navigateurs iOS, qui compromettent la capacité de Private Relay à masquer les adresses IP.

Bakry et Mysk ont déclaré avoir choisi de ne pas signaler la vulnérabilité à Apple, invoquant des expériences passées de retards, de communication incohérente et de déni d'impact.

Apple n'a pas immédiatement répondu à une demande de commentaire le 5 août 2026.

Mysk et son équipe ont développé un navigateur privé appelé Psylo, qui, selon eux, inclut des mesures d'atténuation pour empêcher de telles fuites d'adresse IP.

La divulgation a été rapportée pour la première fois par 404 Media.