++ php.ini: sessioni native chiuse, mitigazione di CVE-2026-109618/109619

session.upload_progress.enabled = 0 e session.use_strict_mode = 1, come
indicato da Sansec in attesa della patch; restano anche dopo, perche'
all'applicazione non servono (Laravel ha le sue sessioni, in Redis).
Test di guardia in VersionePhpTest. HANDOFF: stato della mitigazione e
scelta ancora aperta sul rilascio in produzione. README: sicurezza.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docker/php/php.ini

@@ -8,6 +8,16 @@ memory_limit = 256M
 max_execution_time = 120
 max_input_vars = 3000
 
+[Session]
+; Mitigazione di CVE-2026-109618/109619 (RCE nel core di PHP, 21/10/2026),
+; come indicato da Sansec in attesa della patch, e da tenere anche dopo:
+; l'avanzamento degli upload nelle sessioni native di PHP non serve
+; all'applicazione (Laravel ha le sue sessioni, in Redis, e Livewire non lo
+; usa) ed è il punto da cui passano questi attacchi. Lo strict mode vale solo
+; per le sessioni native, che qui non si usano: costa niente.
+session.upload_progress.enabled = 0
+session.use_strict_mode = 1
+
 [opcache]
 opcache.enable = 1
 opcache.memory_consumption = 128