Das ergibt Sinn. Das Leaf-Zertifikat direkt zu verifizieren ist sauberer, als sich darauf zu verlassen, dass OpenSSL nur das erste Zertifikat in fullchain.cer vollständig liest.
Ich werde PR #1136 zugunsten deines schließen.
Ich teste gerne den neuen PR, falls nötig.