Wang et ses collègues ont publié les premières collisions MD5 en 2004 ; Stevens, Lenstra et de Weger ont rendu praticables les collisions à préfixe choisi en 2007, et en 2008 une équipe s’en est servie pour obtenir un certificat d’AC intermédiaire illégitime auprès d’une AC commerciale qui signait encore avec MD5. Le logiciel malveillant Flame (2012) a exploité une collision MD5 à préfixe choisi pour forger un certificat de signature de code Microsoft. Une collision s’obtient aujourd’hui en quelques secondes sur un ordinateur portable.
La RFC 6151 (2011) indique que MD5 ne doit pas être utilisé lorsque la résistance aux collisions est requise ; la RFC 9155 a retiré les signatures MD5 de TLS 1.2. HMAC-MD5 et MD5 employé comme somme de contrôle hors de tout contexte adverse (détection de corruptions accidentelles, clés de cache) ne sont pas cassés de la même manière, mais rien ne justifie de choisir MD5 pour de nouveaux systèmes, alors que SHA-256 est souvent plus rapide sur les processeurs modernes (sur un cœur Apple M4 Max, OpenSSL 3.6.5 calcule des condensats MD5 à environ 0,86 Go/s et SHA-256 à 2,85 Go/s).