Una patch candidata è una modifica del codice proposta e destinata a correggere una vulnerabilità, un bug o una falla di sicurezza, ma non è ancora considerata una soluzione definitiva affidabile. Può essere generata da uno sviluppatore, da uno scanner o da un sistema di IA, e necessita ancora di revisione umana, test e convalida prima di essere integrata o distribuita.
Nella cybersecurity, le patch candidate sono importanti perché una correzione può sembrare corretta pur essendo ancora incompleta, non sicura o dirompente. Una patch debole può non individuare la vera causa radice, compromettere l'autenticazione o la gestione dell'input, oppure creare una nuova vulnerabilità altrove nel percorso del codice. I difensori la trattano come un punto di partenza: riproducono il problema, eseguono test di regressione, esaminano il diff per valutarne l'impatto sulla sicurezza e solo allora la accettano come patch adeguata. Questo processo con intervento umano aiuta a prevenire un falso senso di sicurezza nella rimedio automatizzato.