я знаю лишь пару уязвимостей которые каким-то образом связаны с html5 к примеру XSS HTML5 векторы, но для их использования нужен javascript.. и вообще html5 это лишь разметка, а у разметки нет механизмов выполнить какой-то код, а вот у флеша это было! да так много что такому монстру как адоб - проще умертвить своё создание. чем залатывать его.
да и функционал у флеша значительно скромнее чем у html5 + javascript.