diff --git a/workloads/docs-portal/Dockerfile b/workloads/docs-portal/Dockerfile
index 22bdd77..366f5a3 100644
--- a/workloads/docs-portal/Dockerfile
+++ b/workloads/docs-portal/Dockerfile
@@ -16,6 +16,14 @@ RUN mkdocs build --strict
 # --- Stage 2: sirve el sitio estático generado con nginx ---
 FROM nginx:1.27-alpine
 
+# libssl3/libcrypto3 de la base nginx:1.27-alpine traen un CVE CRITICAL
+# con fix ya publicado por Alpine (CVE-2026-31789, heap buffer overflow
+# en OpenSSL) -- detectado por el gate de Trivy imagen del pipeline
+# (run 144). Solo se actualizan estos dos paquetes puntuales.
+RUN apk update \
+    && apk upgrade --no-cache libssl3 libcrypto3 \
+    && rm -rf /var/cache/apk/*
+
 COPY --from=build /site/site /usr/share/nginx/html
 
 EXPOSE 80