Patch adalah pembaruan perangkat lunak yang memperbaiki bug atau menutup celah keamanan. Vendor merilis patch ketika mereka menemukan kelemahan. Terkadang kelemahan tersebut kecil dan patch bersifat rutin. Terkadang kelemahan tersebut kritis dan patch bersifat mendesak. Perbedaan ini penting. Kelemahan eksekusi kode jarak jauh pada layanan yang terhubung ke internet perlu di-patch dalam hitungan jam. Bug kosmetik pada alat internal dapat menunggu hingga jendela pemeliharaan berikutnya.

Patching bukanlah pilihan. Sebagian besar serangan yang berhasil memanfaatkan kerentanan yang diketahui dan memiliki patch yang tersedia. WannaCry pada tahun 2017 menyebar melalui celah keamanan Windows yang telah di-patch oleh Microsoft dua bulan sebelumnya. Organisasi yang belum menerapkan patch tersebut terkena dampaknya. Sedangkan yang sudah menerapkannya kebal terhadap serangan. Pola yang sama berulang setiap tahun. Penyerang memindai sistem yang belum di-patch karena sistem tersebut merupakan target yang mudah. ​​Patching bukanlah pekerjaan yang glamor. Hal ini membutuhkan pengujian, penjadwalan, dan terkadang restart sistem. Namun, patching juga mencegah lebih banyak pelanggaran keamanan daripada hampir semua kontrol lainnya.

Kategori tambalan

• Patch keamanan — memperbaiki kerentanan, prioritas tertinggi
• Perbaikan bug — memperbaiki cacat fungsional.
• Pembaruan fitur — menambahkan kemampuan baru, dapat menimbulkan risiko.
• Patch firmware — memperbarui kode tingkat perangkat keras.
• Patch darurat — rilis di luar jadwal untuk mengatasi kekurangan kritis.

Uji patch terlebih dahulu sebelum menerapkannya secara luas. Patch yang merusak aplikasi penting merupakan insiden tersendiri.