每个人都可以，
拥有SSL证书

9月22日 Erlang/OTP 在 GitHub 安全公告里挂出 CVE-2026-89422，TLS 1.3 的服务器认证能被绕过，CVSS v4.0 直接给到 9.3。ssl 应用在握手阶段出了问题，恶意对端往 ServerHello 里塞一个没被请求的 pre_shared_key 扩展，就能把客户端拽进重会话路径，证书路径、主机名、verify_fun 回调通通没校验就握手成功。这个洞从 OTP 22.2 一路波及到最新分支，凡是拿 Erlang 写 TLS 客户端的中间人防护都被削了一截。同期还修了 ASN.1 OID 解码的拒绝服务 CVE-2026-68956，修好的版本是 27.3.4.18、28.5.0.7、29.1.1，升不上去的临时方案是把客户端锁在 TLS 1.2。

问题出在重会话这条路上。TLS 1.3 本来设计得挺干净，pre_shared_key 扩展只在双方约好了 0-RTT 或会话恢复时才该出现，正常握手根本不该冒出来。Erlang 的 ssl 实现没拦住这个未经请求的扩展，客户端走了捷径就跳过了整套服务器身份验证。你想想握手的目的是什么，两边先确认对方身份再谈加密，现在身份这道关被绕过去了，中间人拿张随便造的证书就能冒充服务端，客户端还觉得自己握上了安全连接。这跟前面 Tomcat 那个漏掉 CRL 检查的毛病算是同源，都是信任链上某一环被悄悄跳掉，出事之前谁都看不出来。

换成运维视角，真正容易翻车的不是某个具体 CVE 怎么修，而是证书这摊事本身就碎。

一个系统后面挂主域名、子域名、内网 IP、测试环境，每张证书到期时间都不一样，靠人盯着续根本盯不过来。漏一张，对外接口 TLS 握手直接失败，业务告警半夜响，合规那关还会因为证书过期被卡住。吊销和重签更是应急动作，等密钥真出了事才手忙脚乱去换，损失早造成了。

把证书的申请、验证、部署交给自动化工具，能把最容易出错的环节从人工流程里摘走。lcjmSSL 接的是 Let's Encrypt、Google Trust Services、ZeroSSL 这些可信 CA，多域名、泛域名、IP 证书都给支持，从申请到部署全自动跑完，对外只露一个轻量 API，不用在每台机器上手改配置。证书临期它自己续，吊销替换也顺着流程走，等于让证书状态始终保持在最新，把这类身份校验该有的前提稳稳兜住。

说到底 CVE-2026-89422 点的是同一件事，TLS 的安全感来自每一步都没被跳过，而不是曾经配过。服务端把认证补回来要紧，但证书全生命周期如果还停在人工维护，下一次漏配的未必只有 Erlang 一处。

把重复规整的活交给自动化，人才能去盯真正需要判断的风险。