Falhas Críticas no WebKit Expondo Dados de Usuários: DNS e IPs Reais Vazados

A revelação das vulnerabilidades no WebKit pela Mysk acende um alerta sobre a privacidade em plataformas Apple. As falhas permitem o vazamento de tráfego DNS e endereços IP reais, contornando proteções como o iCloud Private Relay e navegadores que usam proxy como o Tor. O problema reside em mecanismos como o prefetching de DNS, solicitações de origem relacionadas do WebAuthn e WebTransport, que, mesmo com um proxy configurado, podem expor dados sensíveis do usuário.

A decisão da Mysk de divulgar publicamente estas vulnerabilidades foi motivada pela percepção de lentidão nos ciclos de correção da Apple. Experiências anteriores, como a correção da falha no

A cobertura anterior do CEVIU News, em 7 de agosto e 6 de agosto de 2026, detalhava as vulnerabilidades do WebKit que expunham IPs reais de usuários do iCloud Private Relay. A grande novidade é que a Apple agiu com uma velocidade incomum para seus padrões. Em aproximadamente duas semanas após a comunicação inicial, a empresa implementou correções no iOS 27 beta 6, iOS e iPadOS 26.6.1 e macOS Tahoe 26.6.2 para mitigar especificamente os vazamentos que afetavam o iCloud Private Relay.

No entanto, a correção da Apple não é abrangente. As falhas subjacentes de proxy no WebKit persistem para navegadores de terceiros como o Psylo e o Onion Browser. Isso significa que, enquanto os usuários do Private Relay viram uma solução rápida, as aplicações que dependem da configuração de proxy em nível de navegador no WebKit ainda precisam de suas próprias mitigações. Esta distinção crucial mostra que a pressão pública pode acelerar a resposta em alguns casos, mas não resolve a raiz do problema para todos.

Este incidente eleva o debate sobre a "divulgação responsável" de vulnerabilidades. A Mysk optou por uma divulgação pública escalonada, protegendo inicialmente seus próprios usuários do Psylo e alertando o Tor Project, antes de publicar os detalhes. Esta abordagem desafia o modelo tradicional, sugerindo que, em casos de inação ou lentidão do fornecedor, a proteção imediata dos usuários pode justificar a antecipação da divulgação.

Para empresas e usuários, a lição é clara: a dependência de proteções nativas da plataforma nem sempre é suficiente. A persistência das falhas em navegadores de terceiros no WebKit enfatiza a necessidade de VPNs de dispositivo completo para uma proteção robusta. A transparência sobre vulnerabilidades e o tempo de resposta das grandes empresas de tecnologia são cruciais para a confiança e a segurança digital de todos.