---
type: issue
id: "0052"
status: open
created: 2026-08-14
milestone: M5
priority: medium
area: infrastructure
related: [docs/issues/0051-cve-remediation-pass.md]
---
# Update-Kadenz festlegen & `:latest`-Tags beseitigen

## Problem / Motivation

Regelmäßige Komponenten-Updates sind der wirksamste CVE-Schutz (#0051), passieren bisher
aber nur ad-hoc. Zudem ist `coturn:latest` **unpinned** — nicht reproduzierbar und nicht
sauber scanbar — und `busybox:1.28` ist veraltet.

## Acceptance

- **`coturn`** auf eine gepinnte, aktuelle Version; **`busybox`** aktualisiert; **kein
  `:latest`-Tag** mehr im gitops-Repo.
- **Update-Kadenz** festgelegt (Richtwert monatlich + ad-hoc bei CRITICAL-CVE), dokumentiert
  auf `/betrieb/upgrades`.
- Fork-Updates (ThreadNet-Web, threadnet-call) folgen der Portier-Checkliste
  (`axion1337-fork.md`).

## Notes

Update-Prozess: `/betrieb/upgrades`. Bei DB-Migrationen (Authentik, Wiki.js) vorher Backup
(die Backup-Jobs stehen). Rollback ist trivial (GitOps: Commit zurück).