docs(issues): #0099 step 2 - the remote is in place and it contradicts the premise

upstream is configured and both tags are fetched, so updates can finally be looked at
as a diff. The first diff disproved what this issue and the fork doc have both said
since August: the import is not the v1.12.17 tag. 783 files differ, 115 exist only on
our side, and two of them date the tree - TextualBodyViewModel.tsx and
RovingTabIndex.tsx are absent from the tag, present in v1.12.26 and present in our
import. The changelog stops at 1.12.17 only because it is written at release time.

So the base is a develop state after the 1.12.17 release. Fittingly it is the MVVM
files that prove it - the area this issue already warned about.

Step 3 changes accordingly: grafting onto v1.12.17 would put every future merge on an
invented ancestry, and worse than raising false conflicts, it could hide real ones.
Finding the actual ancestor means searching develop history, which needs the full
upstream repository rather than a shallow tag fetch.

The advisory assessment is unchanged - the base sits below 1.12.22 either way.

docs/issues/0099-threadnet-web-12-upstream-sicherheitsfixes-lassen-sich-nicht-m.md

@@ -114,3 +114,49 @@ bleibt davon unberührt.
 Homeserver ist weg, alle Wege sind es nicht. Die Maßnahme senkt die Wahrscheinlichkeit,
 dass jemand versehentlich oder auf Zuruf woanders landet — sie ist **kein Ersatz** für
 das Upstream-Update. Das bleibt Schritt 2–4 dieses Issues.
+
+## Schritt 2 erledigt 2026-08-19 — und er widerlegt eine Annahme des Issues
+
+`upstream` (`element-hq/element-web`) ist als zweiter Remote eingerichtet, `v1.12.17`
+und `v1.12.26` sind flach geholt. Der Remote ist **lokale Konfiguration** und wird
+nicht mitcommittet; die Einrichtung steht jetzt in
+`ThreadNet-Web:docs/axion1337-fork.md` (Commit `fa5dcc5`).
+
+### Der Import ist NICHT der Tag `v1.12.17`
+
+Das Issue und die Fork-Doku behaupteten beide, „Element Web 1.12.17 kam am 2026-05-10
+als kompletter Baum herein". Die erste Messung mit dem neuen Remote widerspricht dem:
+
+| Messung | Ergebnis |
+|---|---|
+| `git diff --stat v1.12.17 3da3635` | **783 Dateien, +17443 / −10371** |
+| nur bei uns vorhanden | **115 Dateien** |
+| nur im Tag vorhanden | 62 Dateien |
+
+Entscheidend sind zwei davon, weil sie datieren:
+`apps/web/src/viewmodels/room/timeline/event-tile/body/TextualBodyViewModel.tsx` und
+`packages/shared-components/src/core/roving/RovingTabIndex.tsx` — im Tag `v1.12.17`
+**nicht vorhanden**, in `v1.12.26` **und in unserem Import vorhanden**. Der
+`CHANGELOG.md` unseres Imports endet bei 1.12.17 (2026-04-30), weil er erst beim
+Release fortgeschrieben wird.
+
+**Die Grundlage ist also ein `develop`-Stand nach dem 1.12.17-Release** (1.12.18 kam am
+2026-05-12), nicht der Tag. Ausgerechnet MVVM-Dateien belegen es — der Bereich, vor dem
+dieses Issue ohnehin warnt.
+
+### Folge für Schritt 3
+
+**Ein Graft auf `v1.12.17` wäre falsch.** Er würde jede künftige Zusammenführung auf
+eine erfundene Ahnenreihe stellen und Konflikte an Stellen erzeugen, wo keine sind —
+oder schlimmer: keine erzeugen, wo welche gehören. Wer den gemeinsamen Vorfahren
+nachträglich herstellen will, muss den passenden **`develop`-Commit** finden. Das
+braucht die **volle** Upstream-Historie; ein flacher Tag-Fetch reicht dafür nicht.
+
+Schritt 3 bleibt damit offen, aber er hat jetzt eine tragfähige Fragestellung statt
+einer falschen Zielmarke.
+
+### Unverändert: die Advisory-Bewertung
+
+Der Basisstand liegt zwischen 1.12.17 und 1.12.18 und damit klar unter 1.12.22 —
+`GHSA-wrcp-5v3v-3j6v` trifft uns weiterhin. Die Korrektur ändert die Dringlichkeit
+nicht, nur den Weg dorthin.