2023年11月，个过旧Adobe给Flash Player 32.0.0.465及更早版本打了一个补丁，版本修复了一个远程代码执行漏洞（CVE-2023-44352）。有安问题在于，全漏这个补丁只对还在用Flash的个过旧企业用户开放下载。普通用户去Adobe官网，版本只能看到一行字：Flash Player已于2020年12月31日停止支持。有安换句话说，全漏你电脑里那个还在运行的个过旧旧版Flash，从官方渠道根本拿不到这个补丁。版本

这不是有安Adobe第一次这么干。2021年1月，全漏Flash刚“寿终正寝”不到一个月，个过旧就有安全研究员发现旧版Flash存在一个UAF（释放后使用）漏洞，版本攻击者可以构造一个特制的有安SWF文件，让浏览器崩溃并执行任意代码。当时国内几家还在维护Flash内容的网站——比如某些在线教育平台和页游平台——为了兼容性，仍然在页面里嵌着Flash插件。这些网站的用户，尤其是那些用着Windows 7和旧版Chrome的人，就成了活靶子。我认识一个做运维的朋友，他们公司内网有一套基于Flash的培训系统，2021年3月被入侵，攻击者就是通过一个过时的Flash版本进来的。事后排查发现，那台机器上的Flash是32.0.0.371，而当时最新的稳定版已经是32.0.0.465。差了将近一百个小版本。

Flash的漏洞多到什么程度？从2015年到2020年，CVE数据库里标记为“Flash Player”的漏洞有超过1000个。其中被实际利用的，至少有几十个。比较出名的像CVE-2016-4117，一个0day，攻击者通过恶意广告投递，影响所有平台。还有CVE-2018-4878，朝鲜黑客组织利用它攻击韩国目标。这些漏洞的共性是什么？都是旧版本没打补丁。而Flash的更新机制有个毛病：它不会强制你升级。你可以在设置里关掉自动更新，也可以一直点“稍后提醒”。很多人就这么一直点，点到Flash彻底停更。

更麻烦的是，Flash停更之后，第三方渠道的“旧版本”反而成了香饽饽。你搜“Flash Player 独立版下载”，能出来一堆国内下载站，提供的安装包版本号五花八门，有些甚至被重新打包过，里面塞了广告插件或木马。我试过在一个小网站下载所谓的“Flash 32.0.0.371 离线安装包”，装完用火绒扫了一下，报了两个风险项。真正的Adobe官方安装包早就不提供旧版本下载了，能下到的，来源都不干净。

有人会说，我都把浏览器里的Flash禁用了，总没事吧。问题是，很多国内浏览器——比如360安全浏览器、QQ浏览器——自带一个Flash组件，版本往往比系统里装的还旧。你禁用了系统里的，浏览器内部那个还在跑。而且这些浏览器通常不会主动更新Flash组件，除非你手动去设置里点“检查更新”。我见过一台电脑，系统Flash是32.0.0.465，但360浏览器内置的是32.0.0.330。差了135个版本。这个版本号意味着什么？意味着它至少漏掉了2019年到2020年间修复的二十多个安全补丁。

所以现在的情况挺拧巴的。一方面，Adobe官方说Flash已经死了，别用了。另一方面，国内大量网站——尤其是教育、政务、企业内部系统——还在依赖Flash。你不得不用，但用的又是过旧版本。攻击者不需要找什么新漏洞，翻翻旧漏洞列表，挑一个没打补丁的版本，写个利用脚本就行。成本低，成功率高。我的建议很直接：如果你必须用Flash，至少把版本升到32.0.0.465，然后把这个版本号记下来，每次打开相关网站前检查一遍。别信任何第三方下载站。如果可能，把Flash内容隔离在一个虚拟机或沙箱里跑。别嫌麻烦，比起被入侵后重装系统，这点麻烦不算什么。

(责任编辑：焦点)