++ php.ini: sessioni native chiuse, mitigazione di CVE-2026-109618/109619

session.upload_progress.enabled = 0 e session.use_strict_mode = 1, come
indicato da Sansec in attesa della patch; restano anche dopo, perche'
all'applicazione non servono (Laravel ha le sue sessioni, in Redis).
Test di guardia in VersionePhpTest. HANDOFF: stato della mitigazione e
scelta ancora aperta sul rilascio in produzione. README: sicurezza.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

README.md

@@ -885,6 +885,13 @@ una revoca ha effetto immediato senza bisogno di ricaricare la pagina.
 - **Sessioni**: in Redis, cookie httpOnly e `Secure` in produzione
 - **Esecuzione PHP**: solo `index.php` è un entrypoint valido; ogni altro `.php`
   restituisce 404
+- **Versione di PHP fissata alla patch** (`ARG PHP_VERSION` nel Dockerfile,
+  oggi 8.3.36 per CVE-2026-109618/109619): una build o prende quella versione
+  o fallisce, mai una base vecchia rimasta in cache. Va alzata a ogni rilascio
+  di sicurezza del ramo 8.3
+- **Sessioni native di PHP chiuse**: `session.upload_progress.enabled = 0` e
+  `session.use_strict_mode = 1` in `php.ini` (l'applicazione usa le sessioni
+  di Laravel; è la mitigazione indicata per le stesse CVE)
 
 ### GDPR
 - **Informativa** (menu *Privacy*, solo amministratore): i valori che possono
@@ -997,7 +1004,7 @@ sempre.
 | Componente        | Tecnologia                                 |
 |-------------------|--------------------------------------------|
 | Framework         | Laravel 11                                 |
-| PHP               | 8.3 (FPM)                                  |
+| PHP               | 8.3 (FPM), versione fissata nel Dockerfile |
 | Interfaccia       | Livewire 3.5 + TailwindCSS 4 + Alpine.js   |
 | Database          | MariaDB 11                                 |
 | Cache/Sessioni/Code| Redis 7                                   |