++ php.ini: sessioni native chiuse, mitigazione di CVE-2026-109618/109619

session.upload_progress.enabled = 0 e session.use_strict_mode = 1, come
indicato da Sansec in attesa della patch; restano anche dopo, perche'
all'applicazione non servono (Laravel ha le sue sessioni, in Redis).
Test di guardia in VersionePhpTest. HANDOFF: stato della mitigazione e
scelta ancora aperta sul rilascio in produzione. README: sicurezza.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

tests/Unit/VersionePhpTest.php

@@ -32,6 +32,16 @@ class VersionePhpTest extends TestCase
         );
     }
 
+    public function test_la_mitigazione_delle_sessioni_resta_nel_php_ini(): void
+    {
+        // Indicata da Sansec per CVE-2026-109618/109619; all'applicazione non
+        // serve, quindi resta anche dopo la patch.
+        $ini = (string) file_get_contents(dirname(__DIR__, 2) . '/docker/php/php.ini');
+
+        $this->assertMatchesRegularExpression('/^session\.upload_progress\.enabled\s*=\s*0\s*$/m', $ini);
+        $this->assertMatchesRegularExpression('/^session\.use_strict_mode\s*=\s*1\s*$/m', $ini);
+    }
+
     public function test_l_immagine_usa_la_versione_fissata_e_non_un_tag_mobile(): void
     {
         preg_match_all('/^FROM php:(\S+)/m', $this->dockerfile(), $basi);