Estes são arquivos temporários de upload do PHP. Elas são deixadas no diretório temporário quando não tratadas (movidas) por um aplicativo, quando a movimentação falha devido a problemas de permissão, etc. Habilite o registro em log (verifique error_reporting , error_log e log_errors ), de preferência para um único arquivo ou syslog , para descobrir quais scripts lançam erros relacionados a isto. função move_uploaded_file () .
Por razões de segurança, é recomendado (entre outros) definir upload_tmp_dir e open_basedir para cada aplicação PHP no sistema. Isso impedirá que o PHP mexa com o diretório temporário global e também indicará claramente que aplicativo / usuário deixa os arquivos de upload não manipulados. Habilitar o upload de arquivos apenas para os aplicativos da Web que realmente precisam deles também melhora a segurança e o controle sobre o sistema.