LONDON (IT BOLTWISE) – Sicherheitsforschende melden mehrere WebKit-Schwachstellen, die den Daten-Tunnel von iCloud Private Relay umgehen können. Damit könnten Zielserver und Beobachter selbst bei aktivierten Schutzmechanismen IP- und DNS-Informationen erhalten. Parallel beschreibt der Bericht eine neue Angriffswelle mit dem Exploit-Kit DarkSword und der Schadsoftware GHOSTBLADE für iOS. Für Entwickler kommt mit XCSSET zudem ein Trojaner hinzu, der sich über kompromittierte Xcode-Projekte verteilt.
Der Aufmacher ist weniger ein einzelner „Zero-Day“, sondern ein Muster: Schwachstellen in der WebKit-Engine können konfigurierten Proxys in bestimmten Fällen entgehen. Genau hier setzt die aktuelle Meldung an, denn sie betrifft ausdrücklich iOS- und macOS-Geräte in großer Zahl – und damit auch viele Anwender, die sich in erster Linie auf Schutzfunktionen wie iCloud Private Relay verlassen. Wenn DNS-Prefetching, WebAuthn Related Origin Requests und WebTransport so funktionieren, dass sie nicht vollständig im vorgesehenen Proxy-Tunnel landen, verschiebt sich das Risiko weg von „klassischem“ Traffic-Leckage-Verhalten hin zu spezifischen Browser-/Web-Stack-Pfaden. Für Security-Teams ist das vor allem deshalb relevant, weil derartige Leaks häufig nicht durch den Blick auf „ob ein VPN läuft“ sichtbar werden.
Konkret werden drei WebKit-Funktionen genannt, die Proxys umgehen können: DNS-Prefetching (betroffen ab iOS 26.0), WebAuthn Related Origin Requests (seit iOS 18.0) und WebTransport (ab iOS 26.4). Die Folge ist technisch nachvollziehbar: Wenn Netzwerkanfragen innerhalb der WebKit-Komponenten anders geroutet werden als der Hauptdatenpfad, kann die eigentliche Quellinformation (etwa die echte IP-Adresse) gegenüber Zielservern und auch gegenüber zwischengeschalteten Beobachtern sichtbar werden. In der Meldung heißt es zudem, dass klassische VPNs offenbar nicht betroffen sind – das klingt plausibel, weil VPNs üblicherweise den gesamten Netzwerkverkehr auf Betriebssystemebene abfangen. Gleichzeitig bedeutet „nicht betroffen“ nicht „immer sicher“, sondern eher: Die Einschränkung gilt für die konkrete Architektur von Private Relay und den genannten WebKit-Fällen.
Damit ist die zentrale operative Frage für Unternehmen und Privatanwender: Wie schnell kann man die Lücke schließen, und welche Schutzmaßnahmen greifen noch? Laut Bericht adressiert ein Sicherheitsupdate mit der Kennung Psylo 1.3.1 die genannten Schwachstellen. Parallel taucht ein weiterer Strang auf, der zeigt, dass es bei der Sicherheitslage nicht nur um Datenschutzarchitektur geht, sondern auch um die Angriffsrealität auf dem Endgerät: Neben den WebKit-Problemen wird eine neue Angriffswelle beschrieben, die gezielt iPhone- und iPad-Nutzer anspreche. Der chinesischsprachige Akteur nutze dabei das Exploit-Kit DarkSword, um die Schadsoftware GHOSTBLADE zu verbreiten, die unter anderem Schlüsselbund-Daten, iCloud-Zugangsdaten und WLAN-Passwörter stehlen soll.
Interessant ist dabei der technische und organisatorische Ablauf, weil er mehrere typische Schwachstellen im menschlichen Prozess adressiert. Der Bericht nennt eine Infrastruktur mit über 100 Webseiten und 27 Hosts, verteilt auf Hongkong, Japan, die USA und Europa. Betroffen seien Geräte mit iOS-Versionen von 18.4 bis 18.7. Die Täter arbeiteten mit mehr als 100 gefälschten AWS- und Apple-ID-Loginseiten, um Opfer zur Eingabe sensibler Daten zu bewegen. Das ist genau die Art Social-Engineering-Kette, die selbst gute „Gerätehygiene“ untergräbt: Ein Patch kann die reine Ausnutzbarkeit von Software-Lücken reduzieren, aber eine kompromittierte Anmeldedatenbasis führt trotzdem zu Zugriffen, etwa auf iCloud und damit auf synchronisierte Daten. Für die Praxis heißt das, dass Security-Playbooks stärker als bisher den „Moment nach dem Update“ einplanen sollten – also das Nachziehen von sicheren Einstellungen und die Überprüfung riskanter Berechtigungs- oder Kontokonfigurationen.
Für Entwickler und Teams, die Apple-Toolchains in CI/CD-Prozesse einbinden, erweitert der Bericht die Bedrohungsfläche: Die Schadsoftware XCSSET soll sich in Version 40 über kompromittierte Xcode-Projekte verbreiten, die in Git-Repositorys eingebettet sind. Besonders auffällig ist die Beschreibung der internen Modularchitektur mit 17 spezialisierten Komponenten. Dazu zählt ein Chrome-Hijacker, der über das Chrome DevTools Protocol Zugriffsdaten stehlen soll, sowie ein Telegram-Trojanisierer. Diese Kombination zeigt, wie Angreifer versuchen, „Momente“ im Entwicklungs- und Wartungsprozess auszunutzen: Wer Quellcode automatisiert übernimmt, baut Integrität nicht nur in die Laufzeitumgebung ein, sondern beginnt bereits beim Repository-Trust und bei der Signierung/Prüfung von Artefakten. Parallel sorgt auch eine Beobachtung für Diskussionen rund um Datenflüsse: Die native Mail-App soll Kontakt zu iCloud-Servern aufnehmen, selbst wenn Nutzer über Nicht-iCloud-Konten schreiben und iCloud-Dienste deaktiviert haben; dabei werden die Prozesse cloudd und nsurlsessiond als Initiatoren genannt. Der genaue Zweck bleibt laut Bericht unklar, unter anderem, weil Zertifikats-Pinning weitere Analysen erschwert.
Der letzte Schwerpunkt des Berichts verschiebt die Perspektive auf den Sicherheitsbetrieb selbst: Apple begrenze mittlerweile die Anzahl akzeptierter Sicherheitsmeldungen pro Forscher, weil die Zahl der Meldungen durch KI-gestützte Analysewerkzeuge stark gestiegen sei. Im Text wird die Cybersicherheitsfirma Bynario als Beispiel genannt, die innerhalb von drei Wochen mehr als 50 macOS-Fehler mittels GPT-5.5 identifiziert haben will, darunter CVE-2026-43760 in der macOS-Bildschirmfreigabe. Als Gegenmaßnahme nennt der Bericht, Apple setze verstärkt auf automatisierte Sicherheitswerkzeuge wie Claude und „OpenAI Codex Security“, um die Flut an Meldungen zu verarbeiten und die eigene Software gegen durch KI entdeckte Exploits zu härten. Für Unternehmen bedeutet das: Patch- und Schwachstellenmanagement bleibt zentral, aber es wird noch stärker datengetrieben. Security-Teams sollten neben CVE-Listen auch die konkrete Betroffenheit in ihren eigenen Produktiv-Setups prüfen – etwa welche Browser-, OS- oder Mail-Workflows bei ihnen tatsächlich genutzt werden – und Prioritäten anhand von Leckage-Pfaden und Missbrauchsszenarien setzen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "WebKit-Lücken und iCloud Private Relay: Neue iOS- und iCloud-Risiken" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "WebKit-Lücken und iCloud Private Relay: Neue iOS- und iCloud-Risiken" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »WebKit-Lücken und iCloud Private Relay: Neue iOS- und iCloud-Risiken« bei Google Deutschland suchen, bei Bing oder Google News!