Una patch silenziosa è una correzione di sicurezza rilasciata con dettagli limitati nell'avviso pubblico. Può arrivare come aggiornamento software di routine, ma le note pubbliche non spiegano chiaramente la vulnerabilità, i componenti interessati o il rischio nel mondo reale. Questo rende più difficile per i difensori valutare l'urgenza basandosi soltanto su un CVE o su un changelog.
Le patch silenziose sono importanti perché gli attaccanti possono comunque analizzare l'artefatto della patch stessa, come le differenze binarie, le modifiche ai pacchetti o il nuovo comportamento, per dedurre cosa è stato corretto e come sfruttarlo. I difensori, nel frattempo, possono rimanere a indovinare quali sistemi sono esposti e se il problema è rivolto a Internet o critico per il business. In pratica, i team di sicurezza usano l'inventario degli asset, i dati di esposizione, l'intelligence sulle minacce e framework di rischio come EPSS o SSVC per decidere se un aggiornamento discreto richieda attenzione immediata. Una patch silenziosa non è automaticamente pericolosa; il rischio deriva dalla scarsa visibilità e da informazioni disomogenee.