MattDHill · Oct 22, 2026 · Oct 22, 2026 · Oct 22, 2026
diff --git a/Dockerfile b/Dockerfile
@@ -0,0 +1,5 @@
+ARG IMAGE
+FROM ${IMAGE}
+# Home Assistant verifies outbound TLS against certifi, which is only as current as the image.
+RUN python3 -m pip install --no-cache-dir --upgrade 'certifi>=2026.10.19' \
+ && ! grep -q MIICTjCCAdOgAwIBAgIKPPYHqWhwDtqLhDAKBggqhkjOPQQDAzBr "$(python3 -m certifi)"
diff --git a/README.md b/README.md
@@ -35,11 +35,11 @@
 
 ## Image and Container Runtime
 
-The upstream Apache-2.0-licensed image is used unmodified, with its own entrypoint, run as the container's init process.
+The upstream Apache-2.0-licensed image is used with its own entrypoint, run as the container's init process. The root `Dockerfile` upgrades its `certifi`, the CA store Home Assistant verifies outbound TLS against, until upstream ships an image built on a fixed one.
 
 | Property      | Value                                                                   |
 | ------------- | ----------------------------------------------------------------------- |
-| Image         | `ghcr.io/home-assistant/home-assistant`                                 |
+| Image         | `ghcr.io/home-assistant/home-assistant` + root `Dockerfile`             |
 | Architectures | x86_64, aarch64                                                         |
 | Entrypoint    | Upstream default, run as init                                           |
 | Subcontainer  | `home-assistant-sub` — the `primary` daemon, and the one to `attach` to |
@@ -181,7 +181,7 @@ The recorder database grows with history, so the backup grows with it. Home Assi
 
 ```yaml
 package_id: home-assistant
-image: ghcr.io/home-assistant/home-assistant
+image: ghcr.io/home-assistant/home-assistant + root Dockerfile (certifi upgrade)
 architectures:
   - x86_64
   - aarch64

diff --git a/package-lock.json b/package-lock.json
diff --git a/package.json b/package.json
@@ -1,7 +1,7 @@
 {
   "name": "home-assistant-startos",
   "dependencies": {
-    "@start9labs/start-sdk": "3.0.6"
+    "@start9labs/start-sdk": "3.1.0"
   },
   "overrides": {
     "@start9labs/start-sdk": "$@start9labs/start-sdk"

diff --git a/startos/manifest/index.ts b/startos/manifest/index.ts
@@ -13,7 +13,11 @@ export const manifest = setupManifest({
   volumes: ['main', 'config'],
   images: {
     'home-assistant': {
-      source: { dockerTag: 'ghcr.io/home-assistant/home-assistant:2026.10.2' },
+      source: {
+        dockerBuild: {
+          buildArgs: { IMAGE: 'ghcr.io/home-assistant/home-assistant:2026.10.2' },
+        },
+      },
       arch: ['x86_64', 'aarch64'],
     },
   },

diff --git a/startos/versions/current.ts b/startos/versions/current.ts
@@ -1,43 +1,17 @@
 import { VersionInfo } from '@start9labs/start-sdk'
 
 export const current = VersionInfo.of({
-  version: '2026.10.2:0',
+  version: '2026.10.2:1',
   releaseNotes: {
-    en_US: `Updated Home Assistant to 2026.10.2 and start-sdk to 3.0.6.
-
-- Fixes MQTT device triggers and tags firing twice after reload, and restores lists of states in conditions with a duration.
-- Revokes refresh tokens when removing a user and redacts sensitive data in several integrations' diagnostics.
-- Includes fixes for Modbus reloads without YAML configuration and group sensors with no members.
-
-Full release notes: https://github.com/home-assistant/core/releases/tag/2026.10.2`,
-    es_ES: `Actualiza Home Assistant a 2026.10.2 y start-sdk a 3.0.6.
-
-- Corrige los disparadores de dispositivos y etiquetas MQTT que se activaban dos veces tras recargar y restaura las listas de estados en condiciones con duración.
-- Revoca los tokens de actualización al eliminar un usuario y oculta datos sensibles en los diagnósticos de varias integraciones.
-- Incluye correcciones para las recargas de Modbus sin configuración YAML y los sensores de grupo sin miembros.
-
-Notas completas de la versión: https://github.com/home-assistant/core/releases/tag/2026.10.2`,
-    de_DE: `Aktualisiert Home Assistant auf 2026.10.2 und start-sdk auf 3.0.6.
-
-- Behebt doppelt ausgelöste MQTT-Geräte-Trigger und Tags nach dem Neuladen und ermöglicht wieder Zustandslisten in Bedingungen mit einer Dauer.
-- Widerruft Aktualisierungstoken beim Entfernen eines Benutzers und entfernt sensible Daten aus den Diagnosen mehrerer Integrationen.
-- Enthält Korrekturen für das Neuladen von Modbus ohne YAML-Konfiguration und Gruppensensoren ohne Mitglieder.
-
-Vollständige Versionshinweise: https://github.com/home-assistant/core/releases/tag/2026.10.2`,
-    pl_PL: `Aktualizuje Home Assistant do 2026.10.2 i start-sdk do 3.0.6.
-
-- Naprawia podwójne wyzwalanie wyzwalaczy urządzeń i tagów MQTT po przeładowaniu oraz przywraca listy stanów w warunkach z czasem trwania.
-- Unieważnia tokeny odświeżania po usunięciu użytkownika i ukrywa dane wrażliwe w diagnostyce kilku integracji.
-- Zawiera poprawki przeładowywania Modbus bez konfiguracji YAML oraz czujników grup bez członków.
-
-Pełne informacje o wydaniu: https://github.com/home-assistant/core/releases/tag/2026.10.2`,
-    fr_FR: `Met à jour Home Assistant vers 2026.10.2 et start-sdk vers 3.0.6.
-
-- Corrige le double déclenchement des déclencheurs d'appareils et des tags MQTT après rechargement et rétablit les listes d'états dans les conditions avec une durée.
-- Révoque les jetons de rafraîchissement lors de la suppression d'un utilisateur et masque les données sensibles dans les diagnostics de plusieurs intégrations.
-- Inclut des correctifs pour le rechargement de Modbus sans configuration YAML et les capteurs de groupe sans membres.
-
-Notes de version complètes : https://github.com/home-assistant/core/releases/tag/2026.10.2`,
+    en_US:
+      'Stops trusting certificates from a compromised certificate authority (eMudhra).',
+    es_ES:
+      'Deja de confiar en los certificados de una autoridad de certificación comprometida (eMudhra).',
+    de_DE:
+      'Vertraut Zertifikaten einer kompromittierten Zertifizierungsstelle (eMudhra) nicht mehr.',
+    pl_PL:
+      'Przestaje ufać certyfikatom przejętego urzędu certyfikacji (eMudhra).',
+    fr_FR: `Ne fait plus confiance aux certificats d'une autorité de certification compromise (eMudhra).`,
   },
   migrations: {},
 })