chore: pin GitHub Actions to SHA

[devin-ai-integration]

■ やりたいこと

GitHub Actionsをターゲットにしたサプライチェーン攻撃への対策として、GitHub Actions内で呼び出している「外部のアクション」や「共通ワークフロー」のバージョン指定を、安全なコミットSHA（40文字のハッシュ値）に固定する対応を行います。

■ 本PRで実施した内容

• GitHub Actions呼び出しのSHA固定（ハッシュ化）
  • 以下のactionが追加対応の対象になっています
    • kufu内のプライベートなaction
    • 可変ブランチでのバージョン指定のaction
      • 「最新のセマンティックバージョン」に書き換えるため、挙動が変わる可能性があります。
    • 前回のsha固定対応以降に作成されたaction
  • 対象ファイル: .github/workflows/cygwin.yml / .github/workflows/macos.yml / .github/workflows/wsl.yml

■ 各開発チームの皆様へのお願い（レビュー・マージについて）

• PRの内容をご確認の上、なるべく早期のマージにご協力をお願いいたします。
• 可変ブランチでのバージョン指定のactionについては、挙動が変わる可能性があるため、マージ後の動作確認をお願いいたします。

[devin-ai-integration]

🤖 Devin AI Engineer

I'll be helping with this pull request! Here's what you should know:

✅ I will automatically:

• Address comments on this PR that start with 'DevinAI' or '@devin'.
• Look at CI failures and help fix them

Note: I can only respond to comments from users who have write access to this repository.

⚙️ Control Options:

• Disable automatic comment, CI, and merge conflict monitoring