И как же решается проблема того, что после патча продукт больше не сертифицирован?
Это не проблема, ведь идея в том, что бы обеспечить безопасность объекта, а не сохранить бумажку. Орган аттестации, который аттестует объект, вполне может сохранить аттестат на объект, в случае устранения уязвимостей. Это как вариант.