phpupscan: verificador de exposicao as CVEs de memoria do PHP

Ferramenta em portugues para avaliar hosts frente as CVE-2026-109618
(RCE via corrupcao por OOM) e CVE-2026-109619 (RCE via estado global
obsoleto), publicadas pelo projeto PHP em 21/10/2026.

Conteudo:
- varredura: fingerprint de versao e SAPI, exposicao de phpinfo e
  veredito por alvo, com saida texto/JSON
- sondas ativas controladas: "leve" reproduz o OOM pre-RINIT do bundle
  oficial de reproducao; "forte" usa chunked para verificar o patch por
  comportamento (o parser corrigido corta a leitura em post_max_size).
  Cada sonda vem com um corpo de controle para atribuir o OOM ao
  caminho de progresso de upload de sessao
- config: auditoria de php.ini, .user.ini, .htaccess e pool FPM contra
  as recomendacoes do aviso oficial do PHP
- info: referencia rapida das CVEs, versoes corrigidas e mitigacoes
- laboratorio: sobe containers (8.2.34 vulneravel, 8.2.35 corrigido,
  controle com upload_progress desligado e par nginx+php-fpm) e valida o
  verificador com recibos PASS/FAIL

As versoes corrigidas vem do advisory oficial (8.2.35, 8.3.36, 8.4.27,
8.5.12) e nao do post de referencia, que lista as versoes anteriores.

A ferramenta mede exposicao: nao inclui a forja de ponteiros nem a
chamada a system() do bundle de reproducao.

Testes: 46 testes unitarios (unittest, sem dependencias).

pyproject.toml

@@ -0,0 +1,17 @@
+[build-system]
+requires = ["setuptools>=61"]
+build-backend = "setuptools.build_meta"
+
+[project]
+name = "phpupscan"
+version = "1.0.0"
+description = "Verificador de exposicao as CVEs de memoria do PHP (CVE-2026-109618 / CVE-2026-109619)"
+readme = "README.md"
+requires-python = ">=3.9"
+license = { text = "MIT" }
+
+[project.scripts]
+phpupscan = "phpupscan.cli:main"
+
+[tool.setuptools]
+packages = ["phpupscan", "phpupscan.testes"]