Perlの脆弱性情報まとめ

2026年に公表されたもののうち、よく使われるCPANのモジュールで確かめておきたいものです。CPANのモジュールのCVEは、CPANのセキュリティグループ（CPANSec）が採番して告知しています。10月だけで約100件が告知され、PSGIのサーバーと、本文や圧縮データを読むモジュールに集まっています。[1]

米CISAのKEV（悪用が確認された脆弱性の一覧、10月30日版）に、2026年に公表されたPerl本体・CPANのモジュールの項目はありません。上の表のbrotliの元の脆弱性CVE-2026-111497は、Google Brotliの項目として10月27日に載りました。過去の年では、Spreadsheet::ParseExcel 0.65のCVE-2023-7101（string evalでのコード実行、2024年1月2日掲載）とExifToolのCVE-2021-22204が載っています。[14]Spreadsheet::ParseExcelは0.66で直り[15]、Spreadsheet::XLSXのCVE-2026-115943は同じ型の問題です。

Perlの開発元は、重大な問題の修正を直近2つの安定版の系列に、重大なセキュリティ修正を5.x.0の公開から3年以内の系列に出すとしています。修正は各系列の最新の版だけに出ます。[16]11月2日時点の安定版は、7月15日公開の5.44.0と、8月2日公開の5.42.3・5.40.5です。[17]

5.42.3と5.40.5では、正規表現のコンパイル時のバッファオーバーフロー（CVE-2026-8376、32ビットのビルドだけ）、pack・unpackの整数オーバーフロー（CVE-2026-57432）、6万5千を超える選択肢を持つ正規表現の誤った一致（CVE-2026-13221）が直りました。[18]5.44.0もこの3件を含みます。[19]

次の2件は、11月2日時点で直した安定版が出ていません。正規表現の照合で範囲外の読み書きが起きるCVE-2026-15534（5.45.1までのすべての版）は、開発版の5.45.2にだけ修正が入っています。対象は、攻撃者が送る約2.9億バイトの文字列を特定の形の正規表現と照合する場合で、開発元は公開されたパッチを当てるよう案内しています。[20]同梱のPod::TextがPODの整形で止まらなくなるCVE-2026-82560は、CPANからpodlators 6.1.1以上を入れると、同梱の版より優先して使われます。[21]

OSが配布するPerlは、版の番号を変えずに修正を取り込むことがあります。番号だけで判断せず、OSの提供元のセキュリティ情報で確かめます。

定番はcpan-audit（CPAN::Audit）です。Cartonのcpanfile.snapshotかcpanfileから依存を読んで調べます。[22]

cpanm CPAN::Audit CPANSA::DB
cpan-audit deps .
cpan-audit installed local/ --perl

cpan-auditは外部に接続せず、手元に入れた脆弱性のデータ（CPANSA::DB）だけを見るため、毎回これを最新にします。--freshを付けると、データが1か月より古いときに警告が出ます。脆弱性が見つかると終了コードは64に件数を足した値になり、CIで止められます。[22]

11月2日時点の最新のデータ（10月28日公開のCPANSA::DB 20261027.002）にも、Cpanel::JSON::XS・Plack・Starman・Starlet・Spreadsheet::XLSXの2026年10月の記録はまだありません。[23]GitHub Advisory DatabaseのSpreadsheet::XLSXの記録は未審査で、対象のパッケージが書かれていません。[24]上の表とCPANSecの告知を、carton listの版と見比べます。

carton list | grep -E 'Plack|Starman|Starlet|HTTP-Body|HTTP-Parser-XS'

1. cpanfile.snapshotを正にする：本番で入る版はcpanfileではなくcpanfile.snapshotで決まります。carton installは、cpanfileの条件を満たす版が入っていれば上げません。HTTP::Parser::XSのような間接的な依存も含め、cpanfileにrequires 'Plack', '1.0057';のように最低の版を書いてcarton installを実行し、cpanfile.snapshotの差分を確かめます。[25][26]
2. 本番で動いている版を確かめる：本番と同じ環境で、読み込まれる版と場所を出します。CPANから入れたpodlatorsが使われているかも分かります。
   ターミナル

   perl -v
   carton exec -- perl -MPlack -E 'say Plack->VERSION'
   carton exec -- perl -MStarlet -E 'say Starlet->VERSION'
   perl -MPod::Text -E 'say Pod::Text->VERSION; say $INC{"Pod/Text.pm"}'
   perl -V:ptrsize

   ptrsize='4'なら32ビットのビルドで、CVE-2026-8376の対象になります。
3. ワーカーを再起動する：StarmanやStarletは起動時にモジュールを読み込むため、入れ直しても、ワーカーを再起動するまで古い版のまま動きます。
4. 証明書の置き場所：LWPやHTTP::Tinyは通常、IO::Socket::SSLを通じてOpenSSLの既定の場所の証明書を先に使い、無ければMozilla::CAを使います。OSの証明書を使っているなら、OSの提供元の更新を入れます。[11]