2015年7月，黑客组织“Hacking Team”被入侵，400GB内部邮件和攻击工具泄露。安全研究员迅速翻找这些文件，发现了一个藏在角落的Flash漏洞——CVE-2015-5119。它利用Flash的字节数组越界读写，可以绕过所有主流浏览器的沙箱保护。泄露当天，漏洞利用代码就被公开，Adobe紧急发布补丁，但全球仍有大量用户来不及更新。

这个案例像一面镜子，照出了Flash的宿命：它曾是互联网的宠儿，却因自身架构缺陷沦为众矢之的。我至今记得2008年用Flash做网页游戏的日子，那时候一个简单的“贪吃蛇”动画就能让整台电脑风扇狂转。CPU占用率常年居高不下，笔记本电池在Flash面前撑不过两小时。

Adobe最初设计Flash时，根本没考虑过安全。它用ActionScript虚拟机直接解析外部SWF文件，没有内存隔离机制。这意味着攻击者只要构造一个畸形文件，就能让Flash越权读取系统内存。2010年，Google安全团队在Pwn2Own大赛上连续两年用Flash漏洞攻破Chrome，那时候Google内部已经决定要彻底封杀这种技术。

更致命的是Flash的更新机制。Adobe要求用户手动下载安装包，企业用户还得通过系统管理工具批量推送。很多普通用户根本不知道要更新，或者嫌麻烦直接忽略弹窗。2013年，一个叫“Nuclear Pack”的攻击工具包在暗网出售，它专门扫描未更新的Flash版本，自动植入勒索软件。那一年，全球有超过80万台电脑中招，大部分受害者只是打开了一个带广告的网页。

移动端的崛起给了Flash最后一击。苹果的乔布斯在2010年公开写信，列举Flash的耗电、触控不适配、安全性差三大罪状。Android虽然最初支持Flash，但三星和HTC很快发现，开启Flash后手机发热严重，电池掉电速度翻倍。开发者开始抱怨：写一套Flash代码要同时适配桌面和移动端，调试成本极高，而HTML5已经能实现80%的动画效果。

Adobe在2017年宣布2020年底停止Flash更新。讽刺的是，最后的告别不是因为技术淘汰，而是因为浏览器厂商集体封锁。Chrome从2016年开始默认阻止Flash自动运行，Firefox在2017年跟进。到2019年，主流浏览器几乎都要求用户手动点击“允许运行此插件”，这一步操作劝退了99%的用户。

我电脑里还存着几个老Flash游戏，偶尔用独立播放器打开怀念一下。那些像素风格的小游戏，加载速度比现在的网页应用快得多，因为当时没有那么多网络请求和框架依赖。但安全性这东西，就像房子的地基，当初偷工减料，迟早要塌。Flash的教训其实很简单：任何技术，如果只追求功能丰富而忽略安全设计，最终都会变成黑客的游乐场。现在HTML5同样面临WebAssembly带来的新攻击面，但愿这次我们能学乖一点。