Perl系Webサーバーに2件の脆弱性。Starmanの応答混同とPlackのサービス停止リスク

10月25日公表：異なる仕組みの2件

GitHub Advisory Databaseに2026年10月25日、StarmanのCVE-2026-115823とHTTP::Server::PSGIのCVE-2026-115825が掲載された。どちらもPerlのWebサーバー関連だが、前者はHTTP応答の境界が曖昧になる問題、後者はメモリ確保によるサービス停止の問題であり、影響条件も対処するパッケージも異なる。公式の深刻度は未評価のため、本記事のHIGHはSECURITY WATCH編集部による暫定的な注意喚起区分だ。

Starman：HEADなどの応答本文が接続上に残る

Starman 0.4019未満では、HEADリクエストに対してアプリケーションが返した本文を送信してしまう。1xx、204、304のように本文を送るべきでない応答でも同様の問題がある。keep-aliveやパイプライン接続では余分なバイト列が次の応答の先頭と誤解され、上流接続を再利用するリバースプロキシなどで別リクエストとの応答混同につながる恐れがある。修正はStarman 0.4019に含まれる。

GitHub Advisory：https://github.com/advisories/GHSA-4q75-5w63-6hx7 開発元修正：https://github.com/miyagawa/Starman/commit/91c47c529cd1e100f938486896ea9083ec3ec7bf

HTTP::Server::PSGI：Content-Lengthの宣言値で過大なメモリ確保

Plackに含まれるHTTP::Server::PSGIの1.0056未満では、HTTPリクエストのContent-Lengthに極端に大きな値が設定されると、実際の本文が届く前に大きな読み取りバッファを確保しようとしてメモリ不足になる恐れがある。アプリケーション処理に到達する前にプロセスが終了し、単一プロセスで稼働するサーバーが再起動まで停止する可能性がある。Plack 1.0056への更新を確認したい。

GitHub Advisory：https://github.com/advisories/GHSA-jmh5-fmfv-h6f8 開発元修正：https://github.com/plack/Plack/commit/11545871cadc5df1b744cebb429cfeb4ebc1069a

利用者が優先して確認すること

まずStarmanとPlackの導入有無、実際に稼働しているバージョン、前段のプロキシやロードバランサーによる接続再利用の有無を棚卸しする。Starmanは0.4019以降、Plackは1.0056以降へ更新する。更新後はHEAD、204などの応答、keep-alive接続、リクエストサイズの扱いを確認する。更新までの暫定策としてリクエストサイズの上限や外部公開範囲の見直しを検討できるが、これだけで修正済みとはみなさない。

悪用状況と編集部評価

2026年10月26日時点で確認したGitHub Advisoryと開発元の修正情報からは、実環境での悪用が確認されたとは断定できない。両件のGitHub AdvisoryはUnreviewedで深刻度もUnknown。したがって編集部はHIGHを暫定評価とし、CVSS値や悪用件数を推測しない。幅広いWebアプリ全体への一律の影響ではなく、該当するPerlサーバーを使う環境に向けた技術的注意喚起である。

WORK SIGNALの視点：HTTPの境界と資源制限を再点検

HTTPサーバーの安全性はアプリケーションの認証や入力検証だけで決まらない。レスポンス本文を送ってよい条件、接続再利用時の境界、宣言された本文長に応じたメモリ確保など、通信の土台も重要だ。開発・運用担当者はパッケージの更新とともに、前段のプロキシ構成と資源制限を確認したい。

一次情報（Starman）：https://github.com/advisories/GHSA-4q75-5w63-6hx7 一次情報（Plack）：https://github.com/advisories/GHSA-jmh5-fmfv-h6f8