iCloud Private Relay là tính năng dành cho người đăng ký iCloud+, hoạt động bằng cách chuyển lưu lượng web qua các máy chủ proxy nhằm che giấu địa chỉ IP và vị trí của người dùng. Tuy nhiên, công cụ này chủ yếu bảo vệ hoạt động duyệt web trên Safari và các ứng dụng sử dụng WebKit, không hoạt động như VPN để mã hóa toàn bộ lưu lượng internet.
Đầu tháng 8, các nhà nghiên cứu Talal Haj Bakry và Tommy Mysk phát hiện thiết bị Apple bật Private Relay vẫn có thể rò rỉ địa chỉ IP trong ba trường hợp. Nhóm nghiên cứu sau đó xây dựng trang kiểm tra để người dùng xác định thiết bị có bị ảnh hưởng hay không.
Theo Mysk, bản cập nhật iOS 26.2.1 cùng các phiên bản tương ứng dành cho hệ điều hành khác của Apple đã âm thầm đưa ra bản sửa lỗi, dù vấn đề không được đề cập trong ghi chú bảo mật chính thức.
Sau khi cập nhật và bật Private Relay trong Cài đặt > iCloud, công cụ kiểm tra hiện chỉ nhận được địa chỉ IP đã được che giấu thay vì IP thực của thiết bị.
Tuy nhiên, Mysk cho rằng Apple mới chỉ khắc phục vấn đề trên Safari, trong khi các trường hợp khác có thể vẫn tồn tại. Apple chưa đưa ra bình luận chính thức về lỗ hổng.
Vụ việc cũng nhanh chóng dẫn đến một đơn kiện Apple, được Clarkson Law Firm đệ trình sau khi lỗ hổng được công khai. Điều này có thể khiến Apple tiếp tục đối mặt với những câu hỏi về khả năng bảo vệ quyền riêng tư mà iCloud Private Relay cam kết mang lại.
