iCloud 泄 IP，WebKit 漏洞致匿名失效

安全研究人员 Tommy Mysk 与 Talal Haj Bakry 披露，iCloud Private Relay 因 WebKit 引擎三个问题未能始终隐藏真实 IP。恶意网站可通过 WebAuthn（passkey）请求在用户无感知下获取设备 IP，因操作系统凭据服务发出的 HTTPS 请求完全绕过代理路径。此外，iOS 26 的 DNS 预取及 iOS 26.4 的 WebTransport 也会泄露 DNS 或 IP 信息。影响覆盖所有 iCloud+ 用户的 Safari 及依赖 WebKit 的浏览器。

研究人员已搭建检测网站供自查，并向 Apple 报告。Apple 回应称正在调查，未提供修复时间表。

💡 为什么值得看iCloud+ 付费隐私功能再次出问题，所有用户或受影响，静默泄露真实 IP 无需交互。