Cloudflare, 2026 üçüncü çeyrekte 18,2 milyon DDoS saldırısı kaydetti; kısa süreli patlamalar öne çıktı

Cloudflare, Temmuz'dan Eylül'e kadar olan dönemi kapsayan DDoS Tehdit Raporu'nun 26. sürümünü 29 Ekim 2026'da yayımladı; öne çıkan rakam, ağındaki 18,2 milyon ağ katmanı saldırısı ve önlenen 14,4 trilyon HTTP DDoS isteği. dev.to'da yayımlanan bir rapor özeti, çeyreğin belirleyici örüntüsünü ortaya koyuyor: saldırılar daha kısa ve daha kalabalık hale gelirken, en büyükler git gide daha nadir hale geliyor.

Her 0,44 saniyede bir saldırı

Rapora göre çeyreğin hacmi saatte 8.226 ağ katmanı saldırısına, kabaca günde 197.400 saldırıya denk geliyor — yani her 0,44 saniyede bir. Cloudflare, ağ katmanında 272,6 PB, HTTP katmanında ise 95,1 PB trafik absorbe ettiğini belirtiyor. Şirket bunu, 330'dan fazla şehirde ve 500 Tbps kapasitede çalışan otomatik tespit ve hafifletmeye bağlıyor. dev.to özetinin de belirttiği gibi, bu tempo karşısında döngüde bir insanın katkısı yoktur: yeterince hızlı yanıt verebilen tek savunma türü otomatik olanıdır.

Kısa patlamalar artarken terabit ölçeğinde saldırılar azaldı

Saldırıların biçimi çeyreğin asıl sinyali. Cloudflare, ağ katmanı saldırılarının yüzde 96'sının on dakika içinde sona erdiğini ve yüzde 98'inin 1 Gbps'nin altında kaldığını buldu; bu kısa, düşük hızlı, yüksek sayılı olay sınıfı yıllık yüzde 208 arttı. Bu profil, özel operasyonlardan ziyade ucuz kiralık DDoS booter hizmetlerine uyuyor. Yazılım şirketleri bu saldırıların yüzde 21,1'ini karşıladı; onları yüzde 14,4 ile kumar ve casinolar, yüzde 14 ile IT ve hizmetler, yüzde 12,4 ile telekomünikasyon izledi.

Öteki uçta, 1 Tbps'yi aşan saldırılar ikinci çeyrekteki 805'ten 251'e geriledi; neredeyse yüzde 69'luk bir düşüş. Cloudflare bu azalmayı, 2026 başında en büyük dört IoT botnetine — Aisuru, KimWolf, JackSkid ve Mossad — karşı yürütülen hukuki uygulamalara bağlıyor; ancak Dysphoria ve Evooo1Bot adlı halef varyantların şimdiden ortaya çıktığına da dikkat çekiyor. Daha az dev saldırı ama daha çok toplam saldırı, savunma sorununun daralmak yerine genişlediği anlamına geliyor.

Amplifikasyon vektörleri UDP'ye doğru döndü

Saldırı vektörü karışımı sert biçimde değişti. 2026'nın ilk yarısında tırmanan CLDAP flood'ları saldırıların yüzde 0,05'ine çöktü — yüzde 99,5'lik bir düşüş. Saldırganlar bunun yerine diğer bağlantısız protokollere yöneldi: DNS amplifikasyonu yüzde 215 artarak ağ katmanı saldırılarının yüzde 3,43'üne ulaştı ve diğer UDP flood'ları yüzde 14,06'dan yüzde 31,31'e tırmandı. Temeldeki teknik değişmedi — açık bir resolver'a gönderilen, sahte kaynak adresli küçük bir sorgu, kurbanın adresine yöneltilen çok daha büyük bir yanıt üretiyor. Raporun ima ettiği çözüm yapısal: açık internetten özyinelemeye (recursion) yanıt veren her resolver veya domain controller olası bir yansıtıcıdır ve denetlenmelidir.

Mirai trafiği Ağustos'ta zirve yaptı

Mirai olarak sınıflandırılan hafifletme trafiği Ağustos'ta 57,23 PB ile zirve yaptı ve çeyrek boyunca önlenen tüm ağ katmanı baytlarının yüzde 46,5'ini oluşturdu. 16, 19, 23 ve 25 Ağustos olmak üzere dört ayrı gün üç petabaytı aştı; en uzun kesintisiz Mirai saldırısı ise 19-21 Ağustos arasında 49,7 saat sürdü. Bu süre operasyonel olarak önemli: iki gün süren kesintisiz bir saldırı, on dakikalık bir patlamanın hiç dokunmadığı biçimde kadrolama ve eskalasyon planlamasını zorlar.

Hedef sıralamaları değişti

Amerika Birleşik Devletleri saldırıya uğrayan ülkeler arasında yeniden birinci sıraya döndü ve Çin'in önünde yer aldı; Endonezya saldırıların yüzde 2,93'ü ile üçüncü oldu. Kanada, perakende, telekom, servis sağlayıcı ve pazarlama sektörlerine yönelik faaliyetlerin ardından 16. sıradan 6.'ya sıçradı; İsrail ise Eylül ortasında süren saldırıların ardından yedi basamak tırmanarak 10. oldu. Sektör bazında medya, prodüksiyon ve yayıncılık, ikinci çeyrekteki payının kabaca çeyreğine gerilese de birinci sırasında kaldı; buna karşın İnternet şirketleri, tüketici hizmetleri ve yetişkin eğlencesi ilk ona girdi.

Neden önemli

İnternete açık hizmet işleten herkes için rapor, tipik bir DDoS saldırısının neye benzediğini yeniden çerçeveliyor: devasa ve sürekli değil; küçük, kısa ve sık. Bu da kısıtlayıcı etkeni ham temizleme kapasitesi değil, tespit hızı ve otomatik hafifletme yapıyor. Veri ayrıca iki planlama dersi taşıyor. Birincisi, hukuki çökertmeler bir çeyrek için sayıları düşürüyor ama yerine geçen botnetler hızla geliyor; dolayısıyla rahatlama geçici. İkincisi, operatörler süre tayfının iki ucuna da plan yapmalı — yalnızca otomasyonun yakalayabildiği on dakikalık sürü ve nöbetçi rotasını tüketen 49 saatlik kampanya — ve kendi amplifikasyon yansıtıcısı olma risklerini, başkası yapmadan önce denetlemelidir.