曾被禁用的恶意 GitHub Actions 再度上线：Mini Shai-Hulud 标签未清理
Socket 披露 actions-cool 的两个 Actions 在 5 月供应链攻击后被禁用，9 月 16 日重新可下载且恶意 tag 仍在，约上万依赖仓库再次暴露。
Socket 于 9 月 24 日报告：在 2026 年 5 月 Mini Shai-Hulud 活动中被攻陷的 actions-cool/issues-helper 与 maintain-one-comment，曾于 5 月 19 日被 GitHub 禁用。9 月 16 日两个仓库重新可访问，但发布标签仍指向 5 月 18 日引入的恶意内容，凡用可变 tag（如 @v2.2.1）引用的工作流会再次下载并执行载荷。
issues-helper 依赖图约有 1.5 万下游仓库。日志显示重新启用后，任务从数秒失败变为数分钟「成功」，并安装 Bun 运行混淆脚本。Socket 建议全面排查、改用已知干净的 commit SHA、轮换密钥，并将第三方 Action 全部钉死到完整 SHA。