Да и в официальных патчах могут быть трояны, если произошла атака на разработчика. Да даже не атака на разработчика, а сам разработчик в силу своих убеждений может воткнуть что угодно в следующее обновление. Время щас такое, никому нельзя верить на слово, все нужно проверять

Разворачиваешь песочницу, накатываешь патч и смотришь как ведет себя система. Если все ок, можно в прод (хотя есть нюансы со всякими отложенными сработками и т.д.)
Да и еще могут быть опасности, если патч получен в недоверенных сетях, тогда вместо него может прилететь что угодно.