每个人都可以，
拥有SSL证书

9月23日 Apache 在 oss-sec 邮件列表里挂出了 CVE-2026-73581，Tomcat 使用 keystore 加载证书时，OpenSSL 和 OpenSSL-FFM 这两套 TLS 实现压根没做 CRL 吊销检查。受影响的版本从 11.0.0-M1 一路到 11.0.25，9.0 和 10.1 的多个分支也都中招，连已经 EOL 的 8.5 都没放过。问题是一位安全研究者挖出来的，官方已在 11.0.26、10.1.59、9.0.122 里修好，建议用户直接升级恢复对已吊销证书的校验。

这个漏洞的杀伤点不在加密本身，在于信任链断了一截。证书签发出来不是一劳永逸的，私钥一旦泄漏或者机构误操作，CA 会把这张证书丢进吊销列表。真实场景里这种事不少见，员工离职带的密钥、被拖库的私钥，光靠签发时的信任撑不到出事那天。正常的 TLS 握手应该去查这张列表，发现证书进了黑名单就拒绝握手。

Tomcat 这两套实现跳过了这步，等于把一个早该作废的证书当成了可信身份，中间人拿着吊销过的证书照样能骗过客户端。

CRL 这套机制本身挺笨重的。吊销列表动辄几兆十几兆，每次握手都去拉一遍既慢又吃带宽，很多团队干脆在配置里把校验关掉图省事，结果就是这次漏洞里被忽略的那种状态。

后来有了 OCSP 做在线查询，再往后 OCSP Stapling 让服务端自己把验证结果贴出来，客户端不用每次跑腿。但这些都建立在你确实把校验链路配对了这个前提上，证书一旦托管在 keystore 里又换了一种加载路径，细节没对齐就漏了。

真正让一线运维头大的还不是某个 CVE 的修法，而是证书这东西遍地都是还总在过期。一个中台后面挂着主域名、子域名、测试环境、内网 IP，每张证书到期日都不一样，靠人记根本记不过来。漏续一张，对外接口直接 TLS 握手失败，业务中断告警半夜炸群，合规检查还会因为证书过期这一项被卡。吊销和重签更是应急动作，等到密钥真出了事才手忙脚乱去替换，黄花菜都凉了。

把证书的申请、验证、部署交给自动化工具，能把这个最容易出错的环节从人工流程里摘出去。lcjmSSL 走的是 Let's Encrypt、Google Trust Services、ZeroSSL 这些可信 CA，多域名、泛域名、IP 证书都支持，申请到部署全自动跑完，对外只暴露一个轻量 API 接口，不用在每台机器上手工改配置。证书快到期它自己续，吊销替换也能顺着流程走，等于把 CRL、OCSP 这些校验该有的前提，证书状态始终最新，稳稳兜住了。

说到底 CVE-2026-73581 提醒的是同一件事，信任这层东西靠的是持续校验而不是曾经签过。服务端把吊销检查补回来是必须的，但证书全生命周期如果还停在人工维护，下一次漏配的可能就不只是 Tomcat 一处。

把重复且规整的活交给自动化，人才能腾出手盯真正需要判断的风险点。