Точняк, автоматические сканеры часто дают ложняк, а без ручной проверки — просто трата времени. Еще момент — если баг не реально эксплуатируется или влияет на важные данные, гоняться за ним особо смысла нет. Вот патчить сразу и без тестов — просто обречь себя на проблемы. Лучше сначала разобраться, насколько баг реально вредоносен, а потом уже лезть с исправлениями. И да, тесты после патча — обязательны, иначе можно только усугубить.