Une faille affectant le proxy iCloud Private Relay permet à un site web d'obtenir l'adresse IP réelle d'un utilisateur Apple. Le problème touche aussi deux autres fonctions intégrées à WebKit, le moteur commun à tous les navigateurs iOS.
Voilà une épine de plus dans le pied d'Apple… Les chercheurs en sécurité Tommy Mysk et Talal Haj Bakry ont découvert trois mécanismes distincts par lesquels Safari et les applications basées sur le moteur WebKit peuvent révéler l'adresse IP ou les serveurs DNS d'un abonné iCloud+, alors même que Private Relay est activé. Apple indique enquêter sur le signalement, sans avoir annoncé de correctif à ce stade.
Le service de passkeys, une porte dérobée hors du champ du proxy
Private Relay, inclus dans les forfaits payants iCloud+, est censé masquer l'adresse IP et les informations DNS d'un utilisateur lorsqu'il navigue avec Safari. Contrairement à un VPN classique, qui chiffre et fait transiter l'ensemble du trafic d'un appareil, cette fonction se cantonne au navigateur. Les autres applications ne sont pas couvertes par cette protection. C'est précisément cette limite que les chercheurs ont exploité pour contourner le proxy.
Les passkeys, l'alternative au mot de passe fondée sur la norme WebAuthn, stockent une clé privée directement sur l'appareil et non dans Safari. Quand un site sollicite l'authentification par passkey, la requête réseau est émise par le service d'identifiants du système d'exploitation, pas par le navigateur. Elle ne passe donc jamais par le relais d'iCloud+ et révèle l'IP réelle de l'appareil au serveur distant. N'importe quel site qui propose, ou simule, une connexion par passkey peut déclencher cette requête sans qu'aucune fenêtre ne s'affiche à l'écran, y compris sans interaction de l'utilisateur.
D'ailleurs, deux autres fonctions de WebKit posent un problème similaire. D'un côté, le préchargement DNS, ajouté avec iOS 26, expose les serveurs DNS réels de l'utilisateur. Par ailleurs, WebTransport, introduit avec iOS 26.4, peut lui aussi révéler l'adresse IP. Comme WebKit sert de socle à tous les navigateurs iOS, ces failles dépassent Safari. Elles concernent aussi OnionBrowser, une application de navigation via le réseau Tor basée sur WebKit. Les développeurs, alertés par les chercheurs, ont jugé la faille préoccupante sans donner de date de correction. Le navigateur Tor officiel, distribué par le Tor Project et basé sur Firefox, n'est pas concerné. Mysk et Haj Bakry ont mis en ligne un site permettant à chacun de vérifier si son adresse IP fuit malgré Private Relay activé.
La sécurité mise à l'épreuve chez Apple
Cette affaire n'est pas sans rappeler un autre incident survenu le mois dernier et concernant d'ailleurs l'abonnement iCloud+. Nous rapportions fin juillet qu'Apple avait corrigé, avec treize mois de retard, la fonction "Masquer mon adresse e-mail", qui exposait la véritable adresse des abonnés dans les logs de messagerie dès qu'un message envoyé via un alias était rejeté comme spam par le serveur destinataire. Le correctif, déployé le 3 juillet 2026 après deux tentatives infructueuses, n'a pas empêché une class action d'être déposée aux États-Unis contre Apple pour avoir commercialisé cette protection en connaissance de cause.
En parallèle, un chercheur vient de réussir à contourner les dispositifs de sécurité d'Apple Cloud Compute, l'infrastructure cloud d'Apple Intelligence. Il a pu exploiter une erreur de vérification au démarrage d'un serveur, y écrire des fichiers avec les droits les plus élevés du système, puis détourner vers sa propre machine les données liées aux requêtes IA traitées par le serveur.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.