diff --git a/workloads/docs-portal/docs/playbooks/incidente-tmux-host-cadena-fallos-2026-09-25.md b/workloads/docs-portal/docs/playbooks/incidente-tmux-host-cadena-fallos-2026-09-25.md
index c1a5697..fa44413 100644
--- a/workloads/docs-portal/docs/playbooks/incidente-tmux-host-cadena-fallos-2026-09-25.md
+++ b/workloads/docs-portal/docs/playbooks/incidente-tmux-host-cadena-fallos-2026-09-25.md
@@ -257,10 +257,17 @@ el host y `curl` a `api.anthropic.com` por IPv4 (`connect=0.035s`).
     algo persistente es **reiniciar y medir el valor efectivo**, no
     revisar que el archivo siga ahí.
 
-!!! note "Pendiente de validar"
-    Falta confirmar que el drop-in de `/etc/sysctl.d/` se aplique solo en
-    el **próximo** reinicio. Tampoco se sabe si una actualización de
-    ZimaOS pisa `upper_etc`.
+!!! success "Confirmado con un segundo reinicio real (2026-09-26 ~19:37Z)"
+    Tras reiniciar el NAS de nuevo, sin correr ningún `sysctl -p` a mano:
+    `disable_ipv6 = 1` en `all` y `default`, y `curl` a
+    `api.anthropic.com` por IPv4 (`connect=0.035s`). El drop-in de
+    `/etc/sysctl.d/` **sí** se aplica al arrancar. El único IPv6 que queda
+    es la ULA de `virbr0` (red interna de libvirt, `NO-CARRIER`,
+    `tentative`), que no sale a internet y no afecta.
+
+    Sigue sin verificarse si una **actualización de ZimaOS** pisa
+    `upper_etc`. Después de cada update del SO, revisar
+    `sysctl net.ipv6.conf.all.disable_ipv6`.
 
 ---
 
@@ -360,16 +367,19 @@ con un dato observable, no por deducción.
 
 ## Pendientes
 
-- [x] ~~Commitear el fix de `entrypoint.sh`.~~ Mergeado a `main` del repo
-      `scripts` el 2026-09-26 (`510cc41`). Antes se verificó que
-      `entrypoint.sh` y `healthcheck.sh` del repo fueran idénticos (md5) a
-      los de la imagen `fix-real` en producción.
-- [x] ~~Validar que IPv6 siga deshabilitado después de un reinicio
-      real del NAS.~~ Probado el 2026-09-26 y **falló**: `/etc/sysctl.conf`
-      no se aplica al arrancar en ZimaOS. Se movió a
-      `/etc/sysctl.d/99-disable-ipv6.conf` (ver la causa c).
-- [ ] Confirmar en el próximo reinicio que el drop-in de
-      `/etc/sysctl.d/` deja IPv6 en `1` sin intervención.
-- [x] ~~Limpiar las etiquetas de imagen viejas de `tmux-host`.~~ Hecho el
-      2026-09-26: quedan solo `2026-09-26-fix-real` (vigente) y
-      `2026-09-20-uv` (rollback).
+Todos cerrados el 2026-09-26:
+
+- **Hecho: commitear el fix de `entrypoint.sh`.** Mergeado a `main` del
+  repo `scripts` (`510cc41`). Antes se verificó que `entrypoint.sh` y
+  `healthcheck.sh` del repo fueran idénticos (md5) a los de la imagen
+  `fix-real` en producción.
+- **Hecho: validar IPv6 tras un reinicio real.** El primer reinicio
+  **falló**: `/etc/sysctl.conf` no se aplica al arrancar en ZimaOS. Se movió
+  a `/etc/sysctl.d/99-disable-ipv6.conf`, y un segundo reinicio confirmó
+  que ahora sí se aplica solo (ver la causa c).
+- **Hecho: limpiar las etiquetas de imagen viejas de `tmux-host`.** Quedan
+  solo `2026-09-26-fix-real` (vigente) y `2026-09-20-uv` (rollback).
+
+Queda una sola vigilancia abierta, sin fecha: después de cada actualización
+de ZimaOS, revisar que `/etc/sysctl.d/99-disable-ipv6.conf` siga existiendo
+y que `disable_ipv6` siga en `1`.