Ван и соавторы опубликовали первые коллизии MD5 в 2004 году; Стивенс, Ленстра и де Вегер сделали коллизии с выбранным префиксом практически осуществимыми в 2007 году, а в 2008 году группа исследователей с их помощью получила поддельный промежуточный сертификат CA от коммерческого CA, который всё ещё подписывал с MD5. Вредоносная программа Flame (2012) использовала коллизию MD5 с выбранным префиксом, чтобы подделать сертификат Microsoft для подписи кода. Сейчас коллизию на ноутбуке находят за секунды.
По RFC 6151 (2011) MD5 нельзя использовать там, где нужна стойкость к коллизиям; RFC 9155 исключил подписи MD5 из TLS 1.2. HMAC-MD5 и MD5 в роли контрольной суммы без противника (обнаружение случайных повреждений, ключи кеша) не взломаны таким же образом, но выбирать MD5 для новых разработок незачем, ведь SHA-256 на современных процессорах часто быстрее (на одном ядре Apple M4 Max OpenSSL 3.6.5 хеширует MD5 со скоростью около 0,86 ГБ/с, а SHA-256 — 2,85 ГБ/с).