Jakarta, Optimaise News – Tiga celah di mesin WebKit memaksa lalu lintas lewat jalur normal perangkat sehingga fitur iCloud Private Relay Apple bocorkan alamat IP pengguna, meski proxy aktif. Dampaknya menimpa Safari dan semua browser di ekosistem Apple karena WebKit wajib dipasang.
Inti artikel
- Dampaknya menimpa Safari dan semua browser di ekosistem Apple karena WebKit wajib dipasang
- Peneliti Talal Haj Bakry dan Tommy Mysk memetakan celah tersebut; 404 Media serta TechCrunch menguji dan mengonfirmasi kebocoran
- Optimaise News merangkum temuan per 9 Agustus 2026 beserta batasan Private Relay dan langkah sementara bagi pelanggan iCloud+
Peneliti Talal Haj Bakry dan Tommy Mysk memetakan celah tersebut; 404 Media serta TechCrunch menguji dan mengonfirmasi kebocoran. Optimaise News merangkum temuan per 9 Agustus 2026 beserta batasan Private Relay dan langkah sementara bagi pelanggan iCloud+.
Cara tiga fitur WebKit melewati proxy Private Relay
Private Relay mestinya mengenkripsi kueri DNS dan memberi alamat IP sementara saat browsing di Safari. Tiga fitur WebKit justru mengirim data langsung dari perangkat, melewati hop relay.
DNS prefetching, hadir sejak iOS 26.0, menyelesaikan hostname lewat jalur DNS normal. Server DNS asli pengguna terekspos, bukan milik proxy. WebAuthn Related Origin Requests, tersedia sejak iOS 18.0, membuat layanan kredensial OS mengambil file validasi passkey tanpa menyentuh Safari. Situs yang mendukung atau berpura-pura mendukung passkey bisa melihat IP asli.
WebTransport sejak iOS 26.4 membuka koneksi HTTP/3 langsung. Ketiga jalur itu tidak masuk jangkauan Private Relay. Bagi pelanggan iCloud+ di Indonesia, risiko tertinggi muncul saat login ber-passkey di situs sensitif, bukan sekadar membuka berita biasa.
Siapa peneliti yang temukan dan browser mana yang sudah patch
Talal Haj Bakry dan Tommy Mysk merinci mekanisme bypass. Mereka juga menyediakan situs uji agar pemilik iPhone bisa cek apakah Private Relay masih membocorkan IP.
Pengujian 404 Media dan TechCrunch menguatkan temuan. Onion Browser di iOS yang terhubung jaringan Tor ikut terdampak pada skenario autentikasi. Tor dan Psylo, browser yang dikelola Mysk, sudah merilis perbaikan. Safari dan browser App Store lain masih menunggu pembaruan WebKit dari Apple.
Riwayat celah privasi berbayar Apple: Hide My Email ke Private Relay
Ini bukan kasus pertama pada fitur premium iCloud+. Pada Juli 2026, Hide My Email terbukti mengekspos alamat email asli pengguna. Apple disebut sudah menambal, namun laporan media menyebutkan sisa masalah tetap ada.
Private Relay dan Hide My Email berada di paket iCloud+ mulai 50 GB. Pengalaman berulang ini memperlihatkan proteksi berbayar tetap bergantung pada detail implementasi WebKit dan layanan kredensial sistem.
Bukan VPN: batasan Private Relay dan langkah ganti sementara
Private Relay hanya melindungi lalu lintas Safari dan sebagian aplikasi terkait. Ia bukan VPN tingkat sistem yang mengenkripsi seluruh app, game, atau browser lain. VPN pihak ketiga tidak kena celah WebKit yang sama karena lalu lintas dienkripsi di level perangkat sebelum keluar.
Langkah praktis sementara: pantau update iOS dan Safari, uji status Private Relay lewat situs peneliti, batasi passkey di situs yang tidak wajib, atau aktifkan VPN penuh hingga patch resmi turun. Checklist singkat: pastikan versi iOS terbaru, nonaktifkan data seluler saat uji, lalu bandingkan IP yang terlihat di situs cek.
Apa yang belum dikonfirmasi Apple soal jadwal perbaikan
Peneliti telah melaporkan temuan. Apple, menurut 404 Media, menyatakan sedang meninjau dan menyelidiki. Belum ada kepastian tanggal rilis patch untuk ketiga celah WebKit.
Sementara menunggu, komunitas keamanan menekankan arsitektur WebKit yang wajib membuat risiko bersifat ekosistem-lebar. Dalam rangkuman Optimaise News, pelanggan yang mengandalkan privasi IP di Safari perlu memperlakukan Private Relay sebagai lapisan terbatas, bukan sandaran tunggal.
