Tres vulnerabilidades en WebKit permiten identificar a usuarios de iOS y macOS que creían navegar de forma anónima. Los investigadores Talal Haj Bakry y Tommy Mysk, del proyecto Psylo, han documentado cómo estas vulnerabilidades de WebKit en iOS 18 causan fugas de IP y DNS. Afectan a iCloud Private Relay y saltan las configuraciones de proxy a nivel de aplicación. El aviso llega días después de que Apple corrigiera el fallo de Hide My Email en iCloud+.
Las tres fugas tienen orígenes distintos dentro de WebKit. Una viene del DNS prefetching, introducido en iOS 26.0. Otra procede de las WebAuthn Related Origin Requests, que llegaron con iOS 18.0. La tercera aparece en las conexiones WebTransport basadas en QUIC, disponibles desde iOS 26.4. La vulnerabilidad de WebAuthn lleva sin corregirse desde entonces, lo que hace estas vulnerabilidades de WebKit en iOS 18 especialmente preocupantes.
Por qué ni Private Relay ni los navegadores Tor se libran
Apple obliga a cualquier navegador de la App Store a usar el motor WebKit. Muchos navegadores de proxy dependen de la API WKWebsiteDataStore.proxyConfigurations para enrutar el tráfico. Ahí está uno de los puntos de fuga. El problema de WebAuthn delega peticiones a demonios de credenciales que corren en segundo plano. WebTransport abre sockets HTTP/3 en bruto. Ambos mecanismos ignoran por completo las reglas de proxy del navegador.
El resultado es que sitios maliciosos o rastreadores pueden capturar la dirección IP real o el proveedor de DNS de un usuario mediante etiquetas HTML sencillas. También lo hacen con peticiones WebAuthn pasivas del tipo mediation: conditional. No requieren ningún clic ni interacción visible. Esto afecta a todos los navegadores basados en proxy sobre WebKit en iOS, incluidos los que usan la red Tor, donde el usuario espera un anonimato que en la práctica no está garantizado.
Qué protege algo y qué sigue expuesto
El Lockdown Mode del Onion Browser ofrece cierta protección frente a la fuga por WebTransport. Las configuraciones por defecto del navegador siguen expuestas a los otros dos vectores. Psylo ha publicado una página de comprobación de conexión para verificar si su navegador filtra IP o DNS. La versión 1.3.1 bloquea manualmente el DNS prefetching y desactiva WebTransport y WebAuthn por defecto en su build personalizado de WebKit.
Lo que falta es cuándo llegará un parche de Apple. Bakry y Mysk han notificado el problema al Tor Project y a los desarrolladores de Onion Browser, lo que apunta a que ambos trabajan ya en una solución. Ninguno ha confirmado fecha de lanzamiento. Mientras tanto, la única mitigación eficaz de inmediato es usar una VPN a nivel de sistema, ya que no depende de las APIs de WebKit afectadas. Quien siguió de cerca los cambios ocultos de iOS 27 que Apple no mostró en la keynote encontrará aquí otro capítulo de la tensión entre privacidad prometida y privacidad real.
Puedes seguir a HardwarePremium en Facebook, Twitter (X), Instagram, Threads, BlueSky o Youtube. También puedes consultar nuestro canal de Telegram para estar al día con las últimas noticias de tecnología.
FAQ
No. Los investigadores precisan que quienes usan una VPN a nivel de sistema en iOS quedan totalmente al margen de estos tres fallos, porque ese trafico no pasa por las APIs de WebKit implicadas.
No se ha confirmado ninguno todavia. Los investigadores han avisado al Tor Project y a Onion Browser, pero la fuente no menciona ningun calendario de correccion por parte de Apple.
Psylo ha publicado una pagina de comprobacion de conexion que permite verificar si un navegador de privacidad concreto esta exponiendo la IP o el DNS del usuario ahora mismo.
Segun Psylo, deben bloquear manualmente las peticiones de DNS prefetching y desactivar por defecto WebTransport y WebAuthn en sus builds personalizados de WebKit, tal y como ya hizo esa propia aplicacion desde su version 1.3.1.
QIDI Plus5, unboxing completo y primera impresión
Este teclado se activa con 0,1 mm | Razer Huntsman V3 HE Mini
Esta AIO NO necesita cables… pero hay truco
Dejé de repetir tomas gracias a este teleprompter
¿La silla que iguala a un Herman Miller… con motor y masaje incluido?
Comentarios