Eigentlich ganz einfach. Die beiden ? sind Platzhalter, an deren Stellen die eigentlichen Daten dann vom DBI-Modul eingesetzt werden, nachdem sie entsprechendes Escaping durchlaufen haben.
Wenn du dir die Doku von DBI ansiehst, dann wirst du sehen, dass do()an 2. Stelle der Parameter einen Hash haben will. Über diesen Hash könnte man noch spezielle Dinge mitgeben, was man aber meistens nicht braucht. Wenn man dann an 3. und folgender Stelle die eigentlichen Werte übergeben will, dann muss natürlich an der Stelle, wo der Hash erwartet wird auch was stehen. Deshalb hier einfach das undef.