Un catalogo di terze parti è l'inventario del software non appartenente al sistema operativo che una piattaforma di gestione delle patch sa come aggiornare, come browser, suite per ufficio, lettori PDF, app di collaborazione e utilità comuni. In pratica, questo catalogo determina ciò che la piattaforma può rilevare, approvare, distribuire e monitorare oltre al sistema operativo stesso.
È importante perché molte vulnerabilità reali si trovano in applicazioni ampiamente usate anziché nel sistema operativo. Se una piattaforma ha una copertura del catalogo debole, i difensori possono comunque rimanere esposti anche quando il patching del sistema operativo è solido. I team di sicurezza usano la profondità del catalogo per confrontare gli strumenti, verificare il supporto delle versioni e controllare che il software effettivamente in esecuzione nell'ambiente sia coperto. Gli attaccanti spesso si affidano ad app di terze parti non patchate per ottenere l'accesso iniziale o eseguire codice, quindi un catalogo ampio e accurato è una parte fondamentale della riduzione della superficie d'attacco. I buoni programmi di patch considerano la copertura del catalogo un controllo, non solo una funzionalità.