Il virtual patching è un controllo compensativo che aiuta a bloccare i tentativi di sfruttamento contro un sistema vulnerabile senza modificare il sistema stesso. Invece di correggere direttamente la vulnerabilità software, i difensori aggiungono controlli attorno ad essa, come regole firewall, policy di web application firewall, firme di intrusion prevention, restrizioni di accesso o filtraggio dei protocolli.
È importante perché molti sistemi critici non possono essere patchati rapidamente. Downtime, requisiti di sicurezza, dipendenze dal vendor o software legacy fragile possono rendere impossibile una correzione immediata. Il virtual patching guadagna tempo riducendo l'esposizione mentre una correzione reale viene testata e programmata. Nelle difese reali, viene spesso affiancato a segmentazione e minimo privilegio, così gli attaccanti non possono raggiungere facilmente l'asset vulnerabile. Negli attacchi, i difensori possono implementarlo dopo che una nuova vulnerabilità diventa pubblica e iniziano i tentativi di sfruttamento, soprattutto quando il codice di exploit è già in circolazione. Non elimina la vulnerabilità sottostante, ma può ridurre nettamente la probabilità di una compromissione riuscita fino a quando la patching non è possibile.