diff --git a/HANDOFF.md b/HANDOFF.md
index 26b77f1..1f5252d 100644
--- a/HANDOFF.md
+++ b/HANDOFF.md
@@ -36,8 +36,9 @@ produzione** — l'utente ha chiesto di aspettare il suo ok:
 - *Assegna* aperta da "Assegna →" della Home senza l'elenco dei territori
   assegnati.
 
-**Per portarli in produzione**: backup del database di produzione, `main`
-avanti fino a `dev` (fast-forward), deploy (l'autodeploy non parte: vedi
+**Per portarli in produzione**: backup del database di produzione, merge di
+`dev` in `main` (dopo il rilascio di sicurezza del 21/10 non è più un
+fast-forward), deploy (l'autodeploy non parte: vedi
 [Dove gira davvero](#dove-gira-davvero)), poi controllo di migrazioni e
 conteggi. In produzione non ci sono gruppi: le quattro migrazioni non hanno
 dati da convertire.
@@ -91,10 +92,13 @@ Il progetto girava su 8.3.35.
   sotto, aggiornato a ogni passo.*
 - Da fare quando `php:8.3.36-fpm` è su Docker Hub: test sulla 8.3.36, poi
   deploy di demo e produzione (vedi [Stato attuale](#stato-attuale)). Finché
-  restano su 8.3.35 sono esposte. Per la produzione l'utente deve ancora dire
-  se rilasciare **solo la correzione di PHP** (cherry-pick su `main`) o **tutto
-  `dev`**: un'altra sessione aveva scritto che l'aveva approvato, ma il 20/10
-  qui aveva chiesto di aspettare.
+  restano su 8.3.35 sono esposte. **Scelta dell'utente (21/10): in
+  produzione solo la correzione di PHP.** I due commit di sicurezza (`db5772d`
+  e la mitigazione nel `php.ini`) vanno su `main` con un cherry-pick (branch
+  locale `rilascio-php`, sopra `d3314a9`); gruppi di servizio e lavori del 20
+  ottobre restano sulla demo, da rilasciare un altro giorno. Dopo il rilascio
+  `main` e `dev` divergono: per portare `dev` in produzione servirà un merge
+  (i cherry-pick sono già in `dev`, conflitti attesi solo in HANDOFF).
 - Il passaggio di consegne di quella sessione (`HANDOFF-chat.md`) sta nella
   cartella del progetto ma non nel repository (escluso in `.git/info/exclude`):
   contiene dettagli dell'infrastruttura.