Два популярні інструменти автоматизації actions-cool/issues-helper та maintain-one-comment у сервісі GitHub знову почали виконувати шкідливий код після того, як їхні репозиторії ненавмисно стали доступними 16 вересня 2026 року. Ці інструменти були вперше зламані ще у травні 2026 року в рамках кампанії Mini Shai-Hulud для викрадення системних ключів із конвеєрів розробки.

Оскільки теги версій не були очищені перед відновленням доступу, будь-які проєкти, що посилалися на ці теги замість фіксованих хеш-ідентифікаторів, автоматично завантажили та запустили вірус. Шкідливий код збирав секретні ключі та відправляв їх на зовнішній сервер зловмисників. Компанія GitHub вдруге заблокувала доступ до вказаних репозиторіїв після попередження фахівців з безпеки.