Obrigado @supermathie por investigar isso. Anexei os arquivos fullchain.cer e ca.cer da instância afetada.
fullchain.cer.txt (5,9 KB)
ca.cer.txt (3,8 KB)
A saída do OpenSSL abaixo mostra que o comando de verificação original falha com o erro 2, enquanto o uso de -untrusted tem sucesso com o mesmo certificado e cadeia.
openssl version
openssl verify -CAfile <(openssl x509 -in ca.cer) fullchain.cer
openssl verify -show_chain -untrusted ca.cer fullchain.cer
OpenSSL 3.5.7 9 Jun 2026 (Library: OpenSSL 3.5.7 9 Jun 2026)
C=US, O=Let's Encrypt, CN=YR2
error 2 at 1 depth lookup: unable to get issuer certificate
error fullchain.cer: verification failed
fullchain.cer: OK
Chain:
depth=0: CN=hubprod.surikai.fr (untrusted)
depth=1: C=US, O=Let's Encrypt, CN=YR2 (untrusted)
depth=2: C=US, O=ISRG, CN=Root YR (untrusted)
depth=3: C=US, O=Internet Security Research Group, CN=ISRG Root X1
Encontrei esse problema em dois ambientes distintos. Tenho aplicado a correção na minha instância de desenvolvimento desde a abertura da PR, e ela tem funcionado como esperado.