docs: #0106 criterion five is proven, by the Authentik upgrade itself

The last open criterion asked that a new version appear in the target set
without anyone doing anything. The Authentik jump provided the case: the server
image moved from 2026.2.3 to 2026.8.0 and the database that hangs in the same
chart from 17.9 to 17.11. At the next hourly derivation both new versions stood
in the desired set and both old ones were gone.

The transient state proves the mechanism rather than undermining it: two missing
because the scan runs daily and has not seen them yet, two orphaned because the
old reports still sit there until that round. All six criteria are met.

docs/design/done/2026-08-21-cve-ziele-ableiten.md

@@ -718,3 +718,18 @@ nachgebaute Tests, als eigener Stolperstein.
 > `docs/aar/2026-08-21-clark-calls-reset-vier-fehldiagnosen.md`. Beide fehlten
 > zunaechst; ich hatte sie mit dem Kommentar der Vorlage wegargumentiert statt
 > mit `AGENTS.md` Z. 202.
+
+### Nachtrag 2026-08-21 — Kriterium 5 nachgewiesen
+
+Beim Authentik-Sprung (#0051) wechselte `ghcr.io/goauthentik/server` von
+`2026.2.3` auf `2026.8.0`, die im selben Chart hängende Datenbank von
+`postgres:17.9-bookworm` auf `17.11`. Bei der nächsten stündlichen Herleitung
+standen **beide neuen Fassungen in der Soll-Menge, beide alten waren heraus** —
+ohne menschliches Zutun.
+
+Der Übergangszustand war der erwartete und belegt die Mechanik gleich mit:
+`missing=2` (neu, aber noch ungescannt — die Runde läuft alle 24 h) und
+`orphaned=2` (die Berichte der alten Fassungen liegen noch bis zur nächsten
+Runde). Beide Zahlen gehen mit dem nächsten Scan auf 0.
+
+**Damit sind alle sechs Abnahmekriterien von #0106 erfüllt.**

docs/issues/0106-cve-scan-deckt-nur-die-haelfte-zielliste-ist-handgepflegt.md

@@ -135,8 +135,16 @@ Die Runde lief in **~2 Minuten**, es kamen **39** Meldungen (geschätzt waren
 Bestand.** Die 127 zusätzlichen CRITICAL gehören zu **#0051**, das um das neue
 Mengengerüst ergänzt wurde.
 
-**Offen und ausdrücklich benannt:** Kriterium 5 (eine neue Fassung erscheint
-ohne Zutun) ist bis zum nächsten Release unbewiesen; ein gerade gestoppter
+**Kriterium 5 ist am selben Tag nachgewiesen worden.** Beim Authentik-Sprung
+(#0051) wanderte `ghcr.io/goauthentik/server` von `2026.2.3` auf `2026.8.0`
+und die mitgezogene Datenbank von `postgres:17.9-bookworm` auf `17.11`. Bei
+der nächsten stündlichen Herleitung standen **beide neuen Fassungen in der
+Soll-Menge und beide alten waren heraus** — ohne einen Handgriff. Der
+Übergangszustand war dabei genau der erwartete: `missing=2` (die neuen sind
+noch ungescannt, die Runde läuft alle 24 h) und `orphaned=2` (die alten
+Berichte liegen noch). Damit sind **alle sechs Abnahmekriterien erfüllt**.
+
+**Offen bleibt:** ein gerade gestoppter
 Dienst fehlt weiterhin still in der Soll-Menge (heute mit 0 beziffert).
 
 Entwurf mit allen fünf Gates: `docs/design/done/2026-08-21-cve-ziele-ableiten.md`.