Cloudflare 2026 年第三季度 DDoS 威胁报告：蜂群式攻击增多，超大规模攻击减少

欢迎阅读 Cloudflare 的第 26 版 DDoS 威胁趋势报告。本报告涵盖 2026 年第三季度（7 月、8 月和 9 月），在发布合并了上半年数据的 2026 H1 报告之后，本系列恢复了季度发布节奏。本报告由 Cloudflare 的威胁情报部门 Cloudforce One 编制，基于来自 Cloudflare 网络的数据，对不断演变的分布式拒绝服务（DDoS）攻击威胁格局进行了全面分析。

关键洞察

1. 持续时间短于 10 分钟且小于 1 Gbps 的短暂爆发性、低带宽攻击激增了 208%。相反，峰值流量超过 1 Tbps 的超大规模攻击较第二季度骤降近 69%，这或许反映出今年早些时候针对四大物联网（IoT）僵尸网络开展的执法行动所产生的效果。但各类变种仍持续出现，这表明 IoT 僵尸网络依旧对网络基础设施构成持久、大规模的威胁。
2. 威胁行为者大幅调整了反射与放大攻击策略，骤然放弃 CLDAP 洪水攻击，该类攻击环比暴跌 99.5%。攻击者转而大量采用其他无连接协议，推动 DNS 放大攻击激增 215%，普通 UDP 洪水攻击上涨 122%。
3. 攻击目标覆盖的行业和地域范围明显扩大，美国超越中国，重新成为受攻击最多的地区。加拿大和以色列遭受的定向攻击数量大幅激增，排名分别上升 10 位和 7 位，两国同期均承受地缘冲突、贸易摩擦以及敏感国内事件带来的多重压力。与此同时，攻击者的行动重心从媒体机构转向更多类型的行业目标，涵盖消费服务、互联网基础设施以及成人娱乐行业。

三季度数据速览：每小时发生 8200 次 DDoS 攻击

2026 年第三季度，Cloudflare 全球网络自动缓解了 1820 万次网络层 DDoS 攻击，拦截 HTTP DDoS 请求总量达 14.4 万亿次。换算下来，平均每小时约 8226 次网络层 DDoS 攻击，每日约 19.74 万次，相当于每 0.44 秒就出现一次攻击。本季度，Cloudflare 网络层累计缓解攻击流量 272.6 PB，HTTP 层缓解攻击流量 95.1 PB。

蜂群式攻击增多，超大规模攻击减少

短时突发、中等流量、高频次攻击 —— 这正是 DDoS 租赁 “booter” 服务的典型攻击特征，本季度此类攻击呈加速增长态势。这类攻击主要针对软件、博彩赌场以及信息技术行业。2026 年第三季度，Cloudflare 自主缓解了 1820 万次网络层 DDoS 攻击，较 2025 年同期增加了 208%：

• 96% 的攻击在 10 分钟内结束
• 98% 的攻击流量保持 1 Gbps 以下，但足以压垮服务器或网站

与之相对，网络层超大规模攻击（峰值流量超过 1 Tbps）走势反转，三季度攻击次数从二季度的 805 起降至 251 起，恰逢 2026 年初执法机构开展行动，捣毁四大物联网 DDoS 僵尸网络：Aisuru、KimWolf、JackSkid、Mossad。

尽管如此，物联网僵尸网络威胁仍具备持续性、高流量特征，其生态衍生出 Dysphoria、Evooo1Bot 等新型变种。Mirai 家族相关攻击的缓解流量在 8 月达到峰值 57.23 PB，占三季度网络层总缓解流量的 46.5%；其中 8 月 16 日、19 日、23 日、25 日这四天，单日缓解流量均突破 3 PB。本季度持续时间最长的 Mirai 攻击发生在 8 月 19 日至 8 月 21 日之间，持续了 49.7 个小时。

攻击手段变化：CLDAP 锐减，UDP 兴起

本季度，攻击手段最显著变化是下降。CLDAP（无连接轻量目录访问协议）攻击的原理为：攻击者发送带有伪造受害方 IP 地址的小型查询报文，诱导公开域控制器（UDP 389）向目标回送海量放大响应流量。该类攻击在上半年环比暴涨 580%，但到三季度急剧萎缩，仅占全部攻击的 0.05%。

与此同时，DNS 放大攻击激增 215%，占全部网络层攻击的 3.43%。该攻击利用开放 DNS 解析器发起攻击，采用与 CLDAP 类似的反射放大模式：发送伪造源地址的小型查询报文，向受害方返回大型应答包。其他 UDP 洪水攻击在网络层攻击中的占比由 14.06% 上升至 31.31%。UDP 是无连接传输协议，很适合用来发起原生大流量攻击：攻击者向目标的指定或随机端口发送大量 UDP 报文，迫使目标主机核查是否存在监听应用并做出响应，消耗其网络与计算资源。

遭受攻击最多的行业

2026 年第三季度，媒体、制作与出版行业仍是遭受攻击最多的行业，但该行业的攻击占比仅约为二季度的四分之一，攻击重心已扩散至更多行业。互联网行业从榜单十名之外攀升至第 6 位；消费服务行业与成人娱乐行业同样进入榜单，分别位列第 8、第 9 位。

遭受攻击最多的国家/地区

地域榜单急剧变化：加拿大、以色列排名上升

本已动荡的双边贸易争端局势进一步加剧，加拿大从第 16 位跃升至第 6 位，攻击主要集中在当地零售、电信、服务提供商与运营商，以及营销广告行业。

以色列排名上升 7 位，位列第 10，原因是 9 月中旬出现持续的 DDoS 攻击活动。这一阶段的主要特征是议会选举与犹太新年假期前夕存在争议的决议；与此同时，记录显示今年针对以色列的敌对网络攻击活动大规模激增。

前十榜单

2026 年第三季度，美国是受攻击最多的国家/地区，中国排名第二，印尼上升至前三名，占攻击总数的 2.93%。中美两国稳居榜单前两位，这一格局与 2026 年上半年情况一致。上半年中国位列第一、美国第二；随着攻击焦点与攻击者偏好发生变化，两国排名出现互换。

筑牢全球防护体系，守护互联网安全

Cloudflare 的网络架构设计可吸收这种 DDoS 威胁增长。我们网络上的每项服务均配备免费、无限量的 DDoS 防护，运行于我们覆盖全球 330+ 城市的每一个节点，依托 500 Tbps 的网络容量提供支撑。自主能力是核心：我们的系统可在无需人工干预的情况下检测并缓解攻击。这是因为，本季度攻击分布数据清晰表明，绝大多数攻击在人类分析师看到告警前就已结束，而且超大规模攻击仍频繁突破 1 Tbps，单季度此类攻击多达数百起。

为帮助托管服务商、云计算平台以及互联网服务提供商识别并处置发起攻击的恶意 IP 地址与账号，我们依托 Cloudflare 在 DDoS 攻击观测上的独特视角，面向服务提供商推出免费 DDoS 僵尸网络威胁情报源。

全球已有超过 800 个网络接入该情报源，我们也见证了行业各方积极协同，开展僵尸网络节点的清理处置工作。如需持续掌握全网攻击态势，请访问 Cloudflare Radar。

关于 Cloudforce One

Cloudforce One 以守护互联网安全为使命，依托 Cloudflare 全球网络的遥测数据开展威胁研究与处置响应。Cloudflare 全球网络承载着全球超两成网站的防护工作，为数百万家机构的关键系统提供安全保障。