Un patch diff è il confronto prima e dopo tra il codice vulnerabile e la versione corretta. Può essere costruito da modifiche al sorgente, analisi binaria o output decompilato, e mette in evidenza le righe, le funzioni o i percorsi logici che sono stati modificati. I team di sicurezza usano i patch diff per capire cosa cambia davvero una correzione, confermare che una vulnerabilità sia chiusa e verificare se i percorsi di codice correlati necessitino ancora di revisione.
I patch diff contano perché anche gli attaccanti usano le stesse informazioni. Quando viene pubblicata una correzione, il diff può rivelare il difetto esatto, rendendo più rapida l'ingegneria inversa e aiutando i criminali a creare exploit per i sistemi non patchati. Questo è un fattore comune dello sfruttamento N-day, in cui una debolezza nota viene presa di mira dopo che la patch esiste ma prima che la distribuzione sia completa. I difensori riducono il rischio applicando rapidamente le patch, dando priorità ai servizi esposti e verificando che la correzione elimini completamente il comportamento vulnerabile.