PHP fissato alla 8.3.36 (CVE-2026-109618, CVE-2026-109619)

- Dockerfile: ARG PHP_VERSION=8.3.36 e FROM php:${PHP_VERSION}-fpm al posto
  del tag mobile php:8.3-fpm, che la cache di Docker poteva risolvere sulla
  8.3.35 vulnerabile. Una build ora prende la versione corretta o fallisce.
- phpredis da GitHub (versione fissata) invece di pecl.php.net, che il
  giorno della patch rispondeva 504 e bloccava la build.
- Test contro il ritorno a un tag mobile o a una versione vulnerabile.
- PHP_VERSION passabile dal compose solo per prove locali.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

HANDOFF.md

@@ -10,6 +10,11 @@ Ultimo aggiornamento: **20 ottobre 2026** — si riprende da [Stato attuale](#st
 
 ## Stato attuale
 
+**⚠️ 21 ottobre 2026 — PHP da aggiornare.** Produzione e demo girano su PHP
+8.3.35, vulnerabile a CVE-2026-109618/109619 (esecuzione di codice da remoto).
+Il Dockerfile ora richiede la 8.3.36, che esce alle 14:00 UTC del 21/10: vedi
+[Sicurezza: PHP](#sicurezza-php-cve-2026-109618--cve-2026-109619-21-ottobre-2026).
+
 **Produzione** (`main` → compose `termanager2-core-production`) in esercizio
 su Dokploy dal 19 ottobre 2026. Ultimo rilascio: `d3314a9` (proclamatori senza
 contatti, il link si copia o si condivide). Backup fatti prima dei rilasci in
@@ -58,6 +63,26 @@ sistema visivo, prima suite di test) è in [Da dove veniamo](#da-dove-veniamo).
 Dal più recente. Le sezioni del 12-19 ottobre sono in produzione; quelle del
 20 ottobre e i gruppi di servizio solo sulla demo.
 
+### Sicurezza: PHP CVE-2026-109618 / CVE-2026-109619 (21 ottobre 2026)
+
+Due esecuzioni di codice da remoto nel core di PHP (CVSS v4 9.2), patch alle
+14:00 UTC del 21/10/2026; versione corretta per il nostro ramo: **8.3.36**.
+Il progetto girava su 8.3.35.
+
+- `docker/php/Dockerfile`: `ARG PHP_VERSION=8.3.36` e `FROM
+  php:${PHP_VERSION}-fpm`. Prima era `php:8.3-fpm`, un tag che si sposta ma
+  che Docker tiene in cache: una ricostruzione senza `--pull` (anche su
+  Dokploy) poteva riusare la base vulnerabile. Ora una build o prende la
+  8.3.36 o fallisce. Test `tests/Unit/VersionePhpTest.php` contro il ritorno a
+  un tag mobile o a una versione inferiore.
+- phpredis da GitHub (`ARG PHPREDIS_VERSION=6.3.0`) invece di `pecl install`:
+  quel giorno pecl.php.net rispondeva 504 e la build falliva.
+- Solo per provare in locale prima che l'immagine sia su Docker Hub:
+  `PHP_VERSION=8.3.35 docker compose ...` (mai per un deploy).
+- Da fare quando `php:8.3.36-fpm` è su Docker Hub: test sulla 8.3.36, poi
+  deploy di demo e produzione (vedi [Stato attuale](#stato-attuale)). Finché
+  restano su 8.3.35 sono esposte.
+
 ### Assegna aperta dalla Home: senza l'elenco dei territori assegnati (20 ottobre 2026)
 
 Richiesta dell'utente: "quando provengo da un territorio dalla home, non