9月末でLet's Encryptのルート証明書が切り替わり、ISRG Root X1というものに変わりました。
それに伴ってサーバーの方も確認しなければならなかったのですが、直前にca-certificatesのアップデートが来てたのでてっきり新しいルート証明書に対応していると思ってました。

いざLet's Encryptを使ったサイトにwgetでアクセスしたらエラーが。

ということでいくつか試して解決するかやってみました。

旧ルート証明書を無効化する

一番ベターな方法です。普通は、これがca-certificatesのアップデート時に行われているはずです。
ブラックリストに入ってるはずなので /etc/ca-certificates.confを見てみます。

ca-certificates.conf

!mozilla/DST_Root_CA_X3.crt

ちゃんと「！」が付いているので無効化されていました。
それにISRG Root X1も追加されてました。
それなのにおかしい。

証明書ファイルを消してみる

解決できなかったので、straceコマンドでwgetがどんな挙動をしているか見てみました。
すると、

stat("/usr/local/ssl/certs/8d33f237.0", 0x7ffecc263f40) = 0

というログがあって、なにかのルート証明書を読み込んでいることが分かりました。
これが何なのか調べます。opensslコマンドで確認します。

$ openssl x509 -text -noout -in /usr/local/ssl/certs/8d33f237.0

なんとDST Root CA X1でした。なぜか読み込まれています。
このようなケースは稀と見られます。

ということで古いルート証明書を削除して、証明書ストアを更新します。

$ sudo rm /usr/local/ssl/certs/8d33f237.0
$ sudo update-ca-certificates

再びwgetでletsencrypt.orgにアクセスできるか試したところ、うまく行きました。
今回は極めてレアケースであったため記事にしましたので、参考になればと思います。