La patch del codice a runtime è l'atto di modificare le istruzioni di un programma mentre è già in esecuzione. Un attaccante può modificare funzioni in memoria, sovrascrivere diramazioni, agganciare API o iniettare nuova logica, così che il software si comporti in modo diverso senza modificare il file su disco. Questo può essere usato per disabilitare i controlli di sicurezza, alterare il flusso di esecuzione, nascondere attività dannose o rendere un implant più flessibile rispetto all'analisi.
Nella sicurezza informatica, la patch a runtime è importante perché riduce il valore della sola ispezione statica. Un binario pulito su disco può comportarsi in modo molto diverso dopo essere stato caricato, il che complica il rilevamento e il reverse engineering. I difensori cercano modifiche in memoria, hook di codice inattesi, injection di processo e discrepanze tra i moduli caricati e gli hash noti. Anche il software legittimo applica patch a runtime per compatibilità o strumentazione, quindi il contesto e la telemetria sono essenziali.