Cloudflare DDoS Threat Report 2026 Q3: More swarms, fewer giants

2026年第三季度Cloudflare DDoS威胁报告：更多蜂群，更少巨兽 | Cloudflare博客

post

安全

威胁情报

僵尸网络

Cloudforce One

DDoS

2026年10月29日

2026年第三季度Cloudflare DDoS威胁报告：更多蜂群，更少巨兽

6分钟阅读

复制链接

欢迎阅读Cloudflare DDoS威胁报告的第26版。本期报告覆盖2026年第三季度（7月、8月和9月），在整合2026年上半年数据后，该系列报告重新恢复季度发布节奏。分析由Cloudforce One（Cloudflare威胁情报部门）基于Cloudflare网络数据，对分布式拒绝服务（DDoS）攻击不断演变的威胁态势进行深入分析。

关键洞察

• 短时爆发、低带宽攻击（持续时间少于10分钟且带宽低于1 Gbps）激增208%。相反，超大规模攻击（超过1 Tbps）较第二季度下降近69%，这可能反映了今年早些时候执法部门针对四大物联网（IoT）僵尸网络采取的行动。然而，变种版本仍在持续出现，证明物联网僵尸网络仍然是对网络基础设施具有持久性、高流量威胁的攻击载体。

• 威胁行为者大幅调整其反射和放大攻击策略，突然放弃CLDAP洪水攻击（季度环比下降99.5%），转而大量使用其他无连接协议，推动DNS放大攻击激增215%，以及普通UDP洪水攻击增长122%。

• 攻击目标在行业和地理分布上显著扩大，美国从中国手中重新夺回最受攻击国家的头衔。加拿大和以色列在针对性攻击中出现显著激增（分别跃升10位和7位），同时在处理地缘政治紧张局势、贸易争端和争议性国内事件。与此同时，攻击重点从媒体机构转向更广泛的行业目标，包括消费者服务、互联网基础设施和成人娱乐产业。

用数字解读第三季度：每小时8200次DDoS攻击

2026年第三季度，Cloudflare通过其网络自主缓解了1.82亿次网络层DDoS攻击和14.4万亿次HTTP DDoS请求。换算成每小时约8226次网络层DDoS攻击，或每天约197400次攻击——每0.44秒就发生一次攻击。本季度缓解的总流量在网络层达到272.6 PB，在HTTP层达到95.1 PB。

更多蜂群，更少巨兽

短时爆发、中等规模、高数量攻击——即DDoS即服务“启动器”（booter）服务的操作特征——在本季度加速增长。这些攻击主要针对计算机软件、赌博和赌场以及信息技术行业。Cloudflare在2026年第三季度自主缓解了1.82亿次网络层DDoS攻击，较2025年同期增长208%：

• 96%的攻击在10分钟内结束

• 98%的攻击流量低于1 Gbps，足以压垮服务器或网站

另一方面，网络级超大规模攻击（超过1 Tbps）趋势逆转，第三季度降至251次，较第二季度的805次大幅下降——这与2026年初执法部门拆解四大物联网DDoS僵尸网络（Aisuru、KimWolf、JackSkid和Mossad）的行动时间吻合。

基于物联网的僵尸网络仍然是一个持久的高流量威胁，随着生态系统不断涌现出新变种，如 Dysphoria 和 Evooo1Bot。Mirai 分类的缓解在 8 月达到峰值 57.23 PB，占第三季度所有网络层缓解字节的 46.5%，其中 8 月 16 日、19 日、23 日和 25 日这四天每天均清除了超过 3 PB 的流量。第三季度持续时间最长的 Mirai 攻击发生在 8 月 19 日至 21 日之间，持续了 49.7 小时。

攻击向量变化：CLDAP 的崩溃与 UDP 的崛起

本季度最显著的向量变化是 CLDAP 的急剧下降。CLDAP（无连接轻量目录访问协议）攻击通过伪造受害者 IP 地址的小型查询，诱使公共域控制器（UDP 389）向目标反射大规模放大响应，在今年上半年曾激增 580%，但到第三季度已暴跌至所有攻击的 0.05%。

与此同时，DNS 放大攻击激增 215%，占所有网络层攻击的 3.43%，其利用开放 DNS 解析器以与 CLDAP 类似的反射和放大模式进行攻击：小型伪造查询，大量回复定向至受害者。其他 UDP 洪水攻击占比从 14.06% 上升至 31.31%。UDP 是一种无连接的传输协议，这使其成为原始流量攻击的便捷载体：攻击者向目标的随机或特定端口发送大量 UDP 数据包，迫使目标检查是否存在监听应用程序并作出响应，从而消耗其网络和计算资源。

受攻击最多的行业

尽管媒体、生产和出版行业仍是 2026 年第三季度最受攻击的行业，但其整体占比仅为第二季度的四分之一，攻击焦点已扩展到更广泛的行业。互联网行业从前十名之外跃升至第六位；消费者服务和成人娱乐行业也有所上升，分别达到第八和第九位。

受攻击最严重的地区

地理激增：加拿大和以色列排名上升

在双边贸易争端本已动荡的背景下，加拿大从第 16 位跃升至第 6 位，主要受到针对其零售、电信、服务提供商和运营商以及营销与广告行业的攻击驱动。

以色列在 9 月中旬持续的 DDoS 活动推动下，排名上升 7 位至第 10 位。尽管这一时期以议会选举前的争议性决定和犹太新年假期为标志，但今年针对以色列的敌对网络战也出现了大规模、有记录的激增。

前十名

2026 年第三季度最受攻击的地区是美国，中国排名第二，印度尼西亚则以总攻击量的 2.93% 进入前三。美国和中国在排名上的组合与 2026 年上半年一致，当时中国排名第一，美国排名第二；随着关注度和攻击者偏好的变化，两国已互换位置。

加强全球防御，共同捍卫互联网

Cloudflare 的网络设计能够有效应对这种 DDoS 威胁的增长。我们网络上的每项服务都受到免费且不限流量的 DDoS 防护保护，该防护在全球 330 多个城市的每个节点上运行，并由 500 Tbps 的网络容量提供支持。自主性是关键：我们的系统能够在无人干预的情况下检测并缓解攻击。它们必须如此，因为正如本季度的数据显示，大多数攻击在人类分析师看到警报之前就已经结束，而最大的攻击仍以每季度数百次的频率持续超过 1 Tbps。

为了帮助托管提供商、云计算平台和互联网服务提供商识别并关闭发起这些攻击的恶意 IP 地址和账户，我们利用 Cloudflare 在 DDoS 攻击方面独有的视角，为服务提供商提供免费的 DDoS 僵尸网络威胁情报 feeds。

全球已有超过 800 个网络订阅了该情报源，我们已经看到社区在清除僵尸网络节点方面展开了卓有成效的合作。如需持续更新的互联网攻击趋势视图，请访问 Cloudflare Radar。

关于 Cloudforce One

Cloudforce One 始终秉持着保护互联网的使命，通过 Cloudflare 全球网络（保护了全球超过 20% 的网站）提供的遥测数据，驱动威胁研究和运营响应，为全球数百万组织的关键系统提供保护。

目录栏

讨论栏

相关标签及社交媒体链接

相关标签

关注社交媒体

• Cloudflare

电子邮件订阅