Tre distinte vulnerabilità nel motore WebKit permettono ai siti di ottenere il vero indirizzo IP e i dati DNS degli utenti, aggirando sia i browser proxy sia iCloud Private Relay. Le falle, scoperte dai ricercatori di Mysk (lo sviluppatore del browser Psylo), colpiscono ogni browser installato su iPhone e, in parte, anche su Mac. Poiché Apple impone WebKit a tutte le app di navigazione iOS, il problema non riguarda solo Safari: interessa anche i browser Tor e qualsiasi app che prometta navigazione anonima, vanificandone le promesse di privacy.
I tre leak: DNS prefetching, WebAuthn e WebTransport
L’indagine di Mysk è partita dalla segnalazione di un utente che aveva notato query DNS sospette. Da lì sono emerse tre perdite di dati, ciascuna attiva su versioni diverse di iOS.
- DNS prefetching – disponibile a partire da iOS 26, risolve i nomi di dominio usando il normale percorso DNS del dispositivo, non il proxy. In questo modo i siti possono vedere i server DNS reali dell’utente.
- WebAuthn (richieste di origine correlata per le passkey) – introdotta con iOS 18, durante la validazione delle credenziali il sistema recupera un file di convalida direttamente dal dispositivo, esponendo l’indirizzo IP reale.
- WebTransport – attiva da iOS 26.4, apre connessioni HTTP/3 dirette che bypassano del tutto il proxy, inviando traffico dal dispositivo al server senza alcun intermediario.
Tutti i browser iOS a rischio, ma le VPN fanno eccezione
Su iPhone Apple obbliga ogni browser a usare WebKit. Di conseguenza, una falla nel motore di rendering diventa una falla di sistema: Safari, i browser Tor e le app proxy condividono la stessa superficie d’attacco. Le tre perdite di dati funzionano anche quando iCloud Private Relay è attivo, perché WebKit gestisce le connessioni prima che il relay possa intervenire.
L’unica protezione che regge è quella delle VPN, che operano a livello di sistema cifrando tutto il traffico prima che WebKit possa aprirlo. Chi usa una VPN non è esposto a nessuno dei tre leak.
Solo Onion Browser si salva in parte
C’è una parziale eccezione: Onion Browser al livello di sicurezza più alto (Silver), che configura WebKit con la LockDown Mode. In questa modalità WebTransport viene disabilitato, quindi il leak legato alle connessioni HTTP/3 dirette non si verifica. Restano comunque attivi i problemi di DNS prefetching e WebAuthn, mentre tutti gli altri browser Tor e le app proxy restano completamente esposti.
L’analisi: un punto di fragilità architetturale
La scelta di Apple di imporre un unico motore a tutti i browser iOS trasforma ogni vulnerabilità di WebKit in un problema trasversale: una singola falla può azzerare le promesse di anonimato di decine di app, dal browser Tor ai proxy specializzati. È un punto di fragilità che né Safari né iCloud Private Relay possono aggirare, e che riporta al centro del dibattito la rigidità delle regole imposte da Apple sull’ecosistema delle app.
I ricercatori hanno già creato un sito di prova che permette a chiunque di verificare se il proprio dispositivo è vulnerabile. Sul fronte delle contromisure, Apple dovrà rilasciare una patch per correggere i tre meccanismi, ma non ha ancora comunicato una tempistica.
Per ora, l’unica difesa che copre tutte e tre le falle resta l’uso di una VPN a livello di sistema, che cifra il traffico prima ancora che WebKit possa decidere quale strada prendere. I tool di privacy integrati in iOS, da soli, non bastano.
