Güvenlik araştırmacıları Talal Haj Bakry ve Tommy Mysk, WebKit’teki üç özelliğin yapılandırılmış proxy yolunu atlayabildiğini ve iCloud Özel Geçişi açıkken bile kullanıcının gerçek ağ bilgisini açığa çıkarabildiğini bildirdi. Araştırmacıların hazırladığı kanıt sayfası, sızıntıların kullanıcıdan görünür bir onay istemeden tetiklenebildiğini gösteriyor.
Apple’ın Türkçe destek belgesine göre iCloud+ kapsamındaki Özel Geçiş, Safari trafiğini iki ayrı geçiş üzerinden yönlendirerek tek bir tarafın hem kullanıcıyı hem de ziyaret edilen siteyi görmesini önlemek için tasarlanıyor. Yeni bulgu, standart sayfa yükleme yolunun dışında kalan bazı WebKit işlemlerinin bu korumaya girmediğini ortaya koyuyor.
Üç farklı sızıntı yolu
Araştırmada ilk olarak DNS ön getirme davranışının aygıtın normal DNS yolunu kullanabildiği belirlendi. iOS 26.0’dan beri etkin olan bu özellik, gerçek DNS sunucularını bir web sitesine gösterebiliyor.
WebAuthn’in ilişkili kaynak doğrulaması ise işletim sisteminin kimlik bilgisi hizmeti üzerinden doğrudan HTTPS isteği gönderiyor. iOS 18.0’dan beri bulunan bu yol, görünür bir geçiş anahtarı penceresi açılmadan gerçek IP adresini hedef sunucuya iletebiliyor. iOS 26.4’te eklenen WebTransport bağlantıları da yapılandırılmış proxy’yi aşarak gerçek IP adresini açığa çıkarabiliyor.
Sorun yalnız Safari ile sınırlı değil. iOS ve macOS’te WebKit’in uygulama düzeyindeki proxy yapılandırmasını kullanan tarayıcılar da etkilenebiliyor. Araştırmacılar kendi Psylo tarayıcılarında DNS ön getirme, WebAuthn ve WebTransport özelliklerini varsayılan olarak kapatan 1.3.1 güncellemesini yayımladı.
Kullanıcılar ne yapabilir?
Apple’ın sorunu incelediği aktarılıyor, ancak henüz bir düzeltme sürümü açıklanmadı. iCloud Özel Geçişi cihazdaki bütün trafiği kapsayan bir VPN değil; yalnızca Safari’nin belirli web ve DNS trafiğini koruyor. Araştırmacılara göre sistem düzeyinde tünel kuran VPN’ler bu üç yöntemden etkilenmiyor. Düzeltme gelene kadar gerçek IP adresinin gizlenmesi kritik olan kullanıcılar, güvendikleri bir VPN hizmetini değerlendirebilir.