PHP теряет сессию после апгрейда: звёздочка в имени cookie превращается в %2A

PHP до 7.4.18 URL-кодировал имя session-cookie при отправке (звёздочка → %2A), а после фикса CVE-2020-7070 перестал декодировать имена входящих cookie. Имена перестают совпадать, сессия не находится, вход зацикливается. Окно поломки: 7.2.34, 7.3.23–7.3.33, 7.4.11–7.4.16, 8.0.1–8.0.3. Проверка — один session-id даёт 200 и 302 при разном написании имени.