iCloud Private Relay là gì và vì sao lỗ hổng lần này nguy hiểm
iCloud Private Relay là tính năng bảo mật dành cho thuê bao iCloud+, chuyển lưu lượng web qua nhiều máy chủ proxy để che giấu địa chỉ IP, vị trí người dùng và hạn chế theo dõi khi duyệt web bằng Safari hoặc các ứng dụng dùng WebKit, nhưng không hoạt động như VPN cho toàn bộ lưu lượng internet. Khi một công cụ được quảng bá như lớp lá chắn quyền riêng tư chủ lực của Apple lại mắc lỗi rò rỉ IP, vấn đề không còn là trục trặc kỹ thuật nhỏ mà là cú đánh thẳng vào niềm tin người dùng. Lỗ hổng iCloud Private Relay lỗi phơi bày rằng ngay cả những tính năng “riêng tư” nhất cũng có thể trở thành cánh cửa mở cho kẻ tấn công nếu bạn bỏ qua các bản cập nhật bảo mật Apple.
Đầu tháng 8, các nhà nghiên cứu Talal Haj Bakry và Tommy Mysk phát hiện thiết bị Apple đã bật Private Relay vẫn có thể rò rỉ địa chỉ IP trong ba trường hợp khác nhau. Điều này đồng nghĩa kịch bản lộ địa chỉ IP iPhone hoàn toàn có thể xảy ra, dù người dùng tin rằng mình đã được bảo vệ. Nhóm nghiên cứu còn xây dựng trang kiểm tra để người dùng tự xác định thiết bị có bị ảnh hưởng hay không. Câu chuyện cho thấy một thực tế khó chịu: chỉ bật tính năng bảo mật là chưa đủ, mà còn phải theo sát các bản cập nhật, vì chính Apple cũng từng âm thầm vá lỗi tương tự trong iOS 26.2.1 mà không ghi rõ trong ghi chú bảo mật.
Lộ IP khi dùng iCloud Private Relay: tác động với người dùng iPhone và iPad
Lỗi iCloud Private Relay lỗi khiến một số thiết bị, dù đã bật tính năng này, vẫn để lộ địa chỉ IP thực trong ba tình huống cụ thể. Với người đăng ký iCloud+, đây là cú đánh trực diện vào kỳ vọng rằng mọi hoạt động duyệt web qua Safari và các app dùng WebKit đều được che giấu IP. Khi lộ địa chỉ IP iPhone, các website, mạng quảng cáo hoặc tác nhân độc hại có thể xác định vị trí gần đúng của bạn, xây dựng hồ sơ theo dõi hoặc gắn kết hoạt động duyệt web với danh tính thực. Về bản chất, đó là quyền riêng tư bị bào mòn từng chút, chứ không phải thảm hoạ “bị hack” tức thì – và chính vì âm thầm nên càng nguy hiểm.
Không chỉ Private Relay, bản cập nhật iOS 26.6.1 bảo mật còn chạm tới nhiều lớp hệ thống khác. Apple đã xử lý một lỗi trong thành phần Audio có thể khiến thông tin nhạy cảm bị lộ trong một số tình huống. Đồng thời, kernel – trái tim của hệ điều hành – cũng nhận nhiều bản vá vì một số lỗi có thể bị khai thác từ xa để làm hệ thống ngừng hoạt động bất ngờ, hoặc cho phép ứng dụng truy cập và làm hỏng vùng bộ nhớ. Nói cách khác, ai phớt lờ cập nhật này không chỉ chấp nhận rủi ro rò rỉ IP, mà còn mở cửa cho những sự cố treo máy và rò rỉ dữ liệu ở tầng sâu hơn.
Vì sao iOS 26.6.1 là bản cập nhật bạn nên ưu tiên
Theo Mysk, Apple từng âm thầm đưa bản sửa lỗi liên quan đến iCloud Private Relay vào iOS 26.2.1 và các nền tảng khác, dù không đề cập trong ghi chú bảo mật chính thức. Động thái này cho thấy hãng nhìn nhận nghiêm túc vấn đề, nhưng cũng đồng nghĩa người dùng không thể chỉ dựa vào changelog để đánh giá tầm quan trọng của một cập nhật. iOS 26.6.1 hiện đã có sẵn cho tất cả người dùng iPhone tương thích, đồng thời iPad Pro, iPad Air, iPad mini và iPad từ thế hệ thứ 8 cũng nhận được iPadOS 26.6.1. Nếu thiết bị của bạn nằm trong danh sách này, việc trì hoãn cập nhật là lựa chọn yếu thế, vì kẻ tấn công luôn nhanh hơn người dùng chậm cập nhật.
Safari tiếp tục là khu vực được Apple tăng cường bảo vệ trong iOS 26.6.1 bảo mật, với một loạt lỗi liên quan đến bộ nhớ và xử lý nội dung web được khắc phục. Điều này giúp giảm nguy cơ trình duyệt bị đóng đột ngột hoặc bị lợi dụng để thực thi mã khi truy cập website độc hại. Ở bình diện rộng hơn, Apple cũng phát hành iOS 18.7.10 và iPadOS 18.7.10 cho thiết bị đời cũ, cùng macOS Tahoe 26.6.2 cho máy Mac, và cho biết sẽ tăng tần suất phát hành các bản vá bảo mật trong bối cảnh tấn công mạng có sự hỗ trợ của AI ngày càng gia tăng. Câu chuyện chung ở đây rất rõ: cập nhật bảo mật Apple không còn là lựa chọn phụ, mà là thói quen bắt buộc nếu bạn coi trọng quyền riêng tư.
Quyền riêng tư không tự đến: kết luận về iCloud Private Relay và iOS 26.6.1
Vụ rò rỉ IP từ iCloud Private Relay đã dẫn đến một đơn kiện nhằm vào Apple, đặt câu hỏi về mức độ bảo vệ quyền riêng tư mà hãng cam kết mang lại. Mysk cũng cho rằng Apple mới chỉ khắc phục vấn đề trên Safari, trong khi các trường hợp khác có thể vẫn tồn tại và hãng chưa đưa ra bình luận chính thức. Câu chuyện này nhắc chúng ta rằng không có hệ thống nào hoàn hảo, kể cả khi nó được gắn nhãn “Private”. Quyền riêng tư không đến từ lời quảng cáo, mà từ chuỗi hành động liên tục: bật đúng tính năng, theo dõi thông tin, và cập nhật kịp thời.
iOS 26.6.1 và iPadOS 26.6.1 là một phần trong chiến lược tăng tần suất bản vá của Apple để đối phó với bối cảnh tấn công mạng ngày càng tinh vi. Nhưng dù hãng có phát hành bao nhiêu bản cập nhật bảo mật Apple đi nữa, người dùng mới là mắt xích cuối cùng quyết định chúng có phát huy tác dụng hay không. Nếu bạn đang dùng iPhone hoặc iPad phù hợp với bản cập nhật này, việc để thiết bị ở trạng thái chưa cập nhật đồng nghĩa chọn đứng ngoài vùng an toàn. Trong thời đại dữ liệu là tài sản, đó không phải là lựa chọn khôn ngoan.
