diff --git a/manifests/helm/argo-cd/10.4.0/custom-values.yaml b/manifests/helm/argo-cd/10.4.0/custom-values.yaml
index 68b5f41..24dc92f 100644
--- a/manifests/helm/argo-cd/10.4.0/custom-values.yaml
+++ b/manifests/helm/argo-cd/10.4.0/custom-values.yaml
@@ -16,7 +16,7 @@ global:
     # applicationset/notifications)가 공유한다 — 컴포넌트별 image 블록이 비면 global 을
     # 상속한다. dex·redis 는 각자 별도 이미지라 영향받지 않는다.
     repository: docker.io/paasup/argocd
-    tag: "3.5.1-security-hardened-20260819"
+    tag: "3.5.1-security-hardened-20260825"
 
 configs:
   params:
diff --git a/manifests/helm/cloudnative-pg/0.29.0/custom-values.yaml b/manifests/helm/cloudnative-pg/0.29.0/custom-values.yaml
index 6b8bd30..513e224 100644
--- a/manifests/helm/cloudnative-pg/0.29.0/custom-values.yaml
+++ b/manifests/helm/cloudnative-pg/0.29.0/custom-values.yaml
@@ -8,7 +8,7 @@ image:
   # 와 docs/decisions/0002-cloudnative-pg-operator-self-build.md(이 레포에는 없다).
   # 상위 태그가 나오면(대응 우선순위 a) 되돌리는 것이 우선.
   repository: docker.io/paasup/cloudnative-pg
-  tag: "1.30.0-security-hardened-20260820"
+  tag: "1.30.0-security-hardened-20260825"
 
 # 오프라인/사설 레지스트리 환경에서 미러 사용 시 지정.
 # imagePullSecrets:
diff --git a/manifests/helm/cloudnative-pg/0.29.0/dip-values.yaml b/manifests/helm/cloudnative-pg/0.29.0/dip-values.yaml
index 1e7ade4..039b251 100644
--- a/manifests/helm/cloudnative-pg/0.29.0/dip-values.yaml
+++ b/manifests/helm/cloudnative-pg/0.29.0/dip-values.yaml
@@ -4,7 +4,7 @@
 image:
   # 자체 빌드(대응 우선순위 c) — custom-values.yaml 상단 주석·doc/decisions/0005 참고.
   repository: docker.io/paasup/cloudnative-pg
-  tag: "1.30.0-security-hardened-20260820"
+  tag: "1.30.0-security-hardened-20260825"
 
 replicaCount: 1
 
diff --git a/manifests/helm/cnpg-cluster/1.1.0/custom-values.yaml b/manifests/helm/cnpg-cluster/1.1.0/custom-values.yaml
index 7f3bad1..e743c10 100644
--- a/manifests/helm/cnpg-cluster/1.1.0/custom-values.yaml
+++ b/manifests/helm/cnpg-cluster/1.1.0/custom-values.yaml
@@ -9,7 +9,7 @@ postgresql:
   #
   # 태그에 빌드일을 포함한다. 같은 앱 버전이라도 베이스 업데이트 결과가 시점마다 다르므로
   # 롤링 태그를 쓰지 않는다.
-  imageName: "docker.io/paasup/cnpg-postgresql:18.4-bci15.7-hardened-20260820"
+  imageName: "docker.io/paasup/cnpg-postgresql:18.4-bci15.7-hardened-20260825"
   #
   # trivy 는 SLES 15.7 을 정상 커버한다(2026-07-29 재측정, 양성 대조로 13건 실측).
   # 2026-07-28 시점에는 "trivy 가 SLES 15.7 데이터를 커버하지 않아 0건이 측정
diff --git a/manifests/helm/cnpg-cluster/1.1.0/dip-values.yaml b/manifests/helm/cnpg-cluster/1.1.0/dip-values.yaml
index 41e3fe0..0a7c248 100644
--- a/manifests/helm/cnpg-cluster/1.1.0/dip-values.yaml
+++ b/manifests/helm/cnpg-cluster/1.1.0/dip-values.yaml
@@ -5,7 +5,7 @@ instances: 3
 postgresql:
   # custom-values.yaml 과 동일하게 SUSE BCI 15.7 자체 빌드를 쓴다.
   # trivy 는 SLES 15.7 을 정상 커버한다(2026-07-29 재측정). 실효 C/H 0/0, 게이트 PASS.
-  imageName: "docker.io/paasup/cnpg-postgresql:18.4-bci15.7-hardened-20260820"
+  imageName: "docker.io/paasup/cnpg-postgresql:18.4-bci15.7-hardened-20260825"
 
   parameters:
     max_connections: "200"
diff --git a/manifests/helm/etcd/1.1.12/custom-values.yaml b/manifests/helm/etcd/1.1.12/custom-values.yaml
index 6b61b87..909ecbe 100644
--- a/manifests/helm/etcd/1.1.12/custom-values.yaml
+++ b/manifests/helm/etcd/1.1.12/custom-values.yaml
@@ -15,7 +15,7 @@ image:
   # 예정이다(etcd-io/etcd#20928) — 상위 태그로 돌아갈 때 이것도 함께 재검토한다.
   registry: "docker.io/paasup"
   repository: "etcd"
-  tag: "3.7.1-security-hardened-20260820"
+  tag: "3.7.1-security-hardened-20260825"
 
 initImage:
   # 업스트림 기본값 "stable" 은 롤링 태그다 — 스캔 대상이 시점마다 달라지므로 고정한다.
diff --git a/manifests/helm/keycloakx/7.3.0/custom-values.yaml b/manifests/helm/keycloakx/7.3.0/custom-values.yaml
index ca3be81..2b250fb 100644
--- a/manifests/helm/keycloakx/7.3.0/custom-values.yaml
+++ b/manifests/helm/keycloakx/7.3.0/custom-values.yaml
@@ -1,6 +1,6 @@
 image:
   repository: docker.io/paasup/keycloak
-  tag: "26.7.1-bci15.7-hardened-20260807"
+  tag: "26.7.2-bci15.7-hardened-20260826"
 
 # keycloakx 기본값은 "/auth"(구 WildFly 기반 codecentric/keycloak 호환용). Keycloak
 # 26(Quarkus) 네이티브 기본값은 "/"이며, /auth 를 그대로 두면 OIDC issuer/admin API