Mayıs 2026'da Mini Shai-Hulud kampanyasıyla ele geçirilen actions-cool/issues-helper ve actions-cool/maintain-one-comment eylemleri, GitHub güvenlik ekibi tarafından devre dışı bırakılmıştı.
Socket araştırmacılarına göre 16-25 Eylül 2026 arasında bu eylemler aynı sürüm etiketleriyle tekrar erişilebilir hale geldi ve iş akışları eski kötü amaçlı yükü indirip çalıştırmaya başladı.
Etkilenen eylemlerin release etiketleri, 18 Mayıs'ta enjekte edilen obfuscated payload'ı içeren bir commite işaret ediyordu.