Cloudflare 2026年第三季度DDoS威胁报告：攻击蜂群更多，巨型攻击更少
内容提要
Cloudflare 2026年第三季度DDoS报告显示，网络层攻击达1820万次，约每小时8226次。短时低带宽攻击激增208%，超1Tbps超大攻击下降69%，可能与执法打击四大物联网僵尸网络有关。攻击手法转向DNS放大和UDP洪水，CLDAP骤降99.5%。美国成最大攻击目标，加拿大和以色列排名大幅上升。
延伸解读
短时攻击激增与执法行动的关联
报告显示，持续不到10分钟、带宽低于1Gbps的短时攻击数量同比激增208%，这类攻击正是DDoS-for-hire“booter”服务的典型特征。与此同时，超过1Tbps的超大攻击从第二季度的805次降至251次，降幅近69%。Cloudflare推测这与2026年初执法机构 dismantle 四个大型物联网僵尸网络（Aisuru、KimWolf、JackSkid、Mossad）有关。但报告也指出，物联网僵尸网络仍通过Dysphoria、Evooo1Bot等新变种持续构成威胁，Mirai类攻击在8月达到峰值，占
攻击向量剧变：CLDAP崩溃与UDP崛起
本季度最显著的变化是CLDAP攻击的急剧下降。这类攻击在上半年曾环比激增580%，但第三季度骤降至仅占攻击总数的0.05%，环比暴跌99.5%。攻击者迅速转向其他无连接协议：DNS放大攻击激增215%，占网络层攻击的3.43%；一般UDP洪水从14.06%升至31.31%。这两种手法都利用无连接协议的特性，通过伪造源IP的小查询触发大响应，或直接发送大量UDP包消耗目标资源。这种快速切换表明攻击者会根据防御态势灵活调整战术。
攻击目标地理与行业分布的变化
美国重新夺回最大攻击目标位置，中国降至第二，印度尼西亚以2.93%的占比升至第三。加拿大从第16位跃升至第6位，以色列上升7位至第10位，报告将这两国的排名飙升与地缘政治紧张、贸易争端及国内争议事件联系起来。行业方面，媒体、制作与出版虽仍是最受攻击行业，但其份额已降至第二季度约四分之一，攻击重点扩散至消费者服务、互联网基础设施和成人娱乐等更广泛的领域。
Q&A
2026年第三季度全球DDoS攻击总量和频率是多少？
Cloudflare在2026年第三季度缓解了1820万次网络层DDoS攻击和14.4万亿次HTTP DDoS请求，相当于每小时约8226次网络层攻击，即每天约19.74万次，每0.44秒一次。
为什么短时低带宽DDoS攻击激增而超大规模攻击减少？
短时低带宽攻击（持续不到10分钟、带宽低于1Gbps）激增208%，主要来自DDoS-for-hire“booter”服务，针对软件、赌博和IT行业。同时，超过1Tbps的超大攻击从第二季度的805次降至251次，下降约69%，可能与2026年初执法机构 dismantle 四个大型物联网僵尸网络（Aisuru、KimWolf、JackSkid、Mossad）有关。
本季度DDoS攻击的主要技术手法有哪些变化？
攻击者大幅放弃CLDAP洪水攻击，使其环比骤降99.5%，仅占攻击的0.05%。同时，DNS放大攻击激增215%，占网络层攻击的3.43%；通用UDP洪水从14.06%升至31.31%。这些变化反映了攻击者转向其他无连接协议进行反射放大攻击。
哪些行业在2026年第三季度受DDoS攻击最严重？
媒体、制作与出版仍是受攻击最多的行业，但其份额约为第二季度的四分之一。攻击目标更加分散，互联网行业从十名外升至第六，消费者服务和成人娱乐分别升至第八和第九。
2026年第三季度DDoS攻击的地理分布有何特点？
美国重新成为受攻击最多的国家，中国位居第二，印度尼西亚升至第三（占2.93%）。加拿大从第16位跃升至第6位，以色列上升7位至第10位，主要受地缘政治紧张和国内事件影响。
物联网僵尸网络在第三季度的威胁态势如何？
尽管执法打击了四个大型物联网僵尸网络，但物联网僵尸网络仍是持久的高容量威胁。Mirai类攻击在8月达到峰值57.23 PB，占本季度所有缓解网络层字节的46.5%，其中8月16、19、23、25日单日缓解量均超3PB。本季度最长的持续Mirai攻击持续49.7小时（8月19日至21日）。新变种如Dysphoria和Evooo1Bot继续出现。
