Il problema riguarda iPhone, iPad e Mac, e tocca il modo in cui alcune comunicazioni web riescono ad aggirare la protezione inclusa in iCloud+. Apple, secondo quanto riportato, sta esaminando i risultati. Al momento, però, non risulta ancora una correzione ufficiale già distribuita.
iCloud Private Relay, in italiano Relay privato iCloud, è uno dei servizi compresi negli abbonamenti iCloud+. L’idea è semplice: rendere più difficile collegare una persona alla sua navigazione online. Quando si usa Safari, il traffico viene cifrato e fatto passare da due relay separati, così che nessun soggetto possa sapere insieme chi sta navigando e quali siti sta visitando.
Il punto, però, è che questa protezione non sembra reggere sempre. Secondo Talal Haj Bakry e Tommy Mysk, alcune richieste possono partire direttamente dal dispositivo, senza passare nel modo corretto da Private Relay. In quel caso il sito visitato, o un servizio collegato alla pagina, può vedere il vero IP dell’utente. E non è un dettaglio da poco: dall’indirizzo IP si possono ricavare informazioni sulla rete usata e, con un certo margine, anche sulla posizione geografica.
Le falle di WebKit che possono esporre IP e posizione
Il nodo è WebKit, il motore browser sviluppato da Apple e usato sui suoi sistemi operativi. I ricercatori indicano più punti critici: tra questi WebAuthn, la tecnologia usata anche per le passkey, insieme a meccanismi come DNS-prefetching e WebTransport. Sono strumenti pensati per rendere il web più veloce, moderno o sicuro.
Ma, in alcune condizioni, possono ottenere l’effetto opposto. Mysk ha scritto su X che il gruppo si è trovato «in un dilemma» su come gestire la comunicazione responsabile di queste perdite di DNS e IP in WebKit. La prima segnalazione, secondo il suo racconto, sarebbe arrivata a fine giugno 2026 da un utente di Psylo, browser attento alla privacy.
Da lì sono partiti controlli più ampi, fino alla scoperta di altri casi in cui il traffico non veniva schermato come previsto. Un comportamento non uniforme: non tutti i dispositivi rispondono allo stesso modo e non tutte le sessioni espongono gli stessi dati.
Perché il problema riguarda anche browser diversi da Safari
La questione non riguarda solo Safari. Sui dispositivi Apple, molti browser devono usare WebKit per mostrare le pagine, anche quando hanno un nome e un’interfaccia diversi. Per questo installare un altro browser su iPhone, iPad o Mac non basta, da solo, a evitare la possibile esposizione dell’indirizzo IP.
È un dettaglio che può spiazzare chi non segue gli aspetti tecnici: si cambia app, ma una parte del motore resta la stessa. E se la falla nasce lì, nel livello sotto il browser, la protezione può restare incompleta anche fuori da Safari. Alcuni browser pensati per la privacy, secondo quanto riferito dai ricercatori, avrebbero già inserito misure per bloccare specifiche situazioni di rischio. Ma la questione resta aperta, almeno fino a un intervento più profondo di Apple su WebKit o sul funzionamento di iCloud Private Relay.
Per capire se il proprio dispositivo è esposto, i ricercatori hanno messo online una pagina di test che verifica eventuali perdite del vero indirizzo IP. I risultati, precisano, possono cambiare a seconda del dispositivo, della versione del sistema operativo, del browser e della rete usata. Una prova fatta da casa al mattino, per intendersi, potrebbe dare un esito diverso da un test ripetuto più tardi sotto rete mobile.
In attesa di una comunicazione ufficiale e di un eventuale aggiornamento, il consiglio degli stessi ricercatori è usare una VPN affidabile quando si vuole ridurre il rischio di esposizione dell’IP reale. Una VPN fa passare il traffico da un server intermedio e mostra ai siti un indirizzo diverso da quello della connessione domestica o mobile. Non è una bacchetta magica, e va scelta con cautela, ma può aggiungere un livello di protezione.
Per ora la linea più prudente è chiara: aggiornare appena Apple rilascerà una correzione, controllare le impostazioni di iCloud+ e non dare per scontato che Private Relay basti sempre a nascondere la propria posizione online.
