Первая публичная коллизия, SHAttered (Стивенс и коллеги из CWI и Google, февраль 2017 года), дала два разных PDF-файла с одинаковым дайджестом SHA-1. В 2020 году работа Лёрана и Пейрена «SHA-1 is a Shambles» сделала коллизии с выбранным префиксом практически осуществимыми: они стоят десятки тысяч долларов вычислительного времени на GPU и позволяют подделывать сертификации ключей PGP. Стойкость к нахождению прообраза не нарушена.
Статус: в 2013 году NIST запретил SHA-1 для создания цифровых подписей, а в декабре 2022 года объявил, что к 31 декабря 2030 года исключит SHA-1 из применения для защиты данных во всех приложениях. RFC 9155 объявляет устаревшими подписи MD5 и SHA-1 в TLS 1.2; браузеры перестали доверять сертификатам SHA-1 в 2017 году; OpenSSH 8.8 по умолчанию отключил алгоритм подписи ssh-rsa с SHA-1.
Где SHA-1 ещё встречается: идентификаторы объектов Git (с реализацией, которая обнаруживает коллизии; существуют и репозитории на SHA-256), отпечатки OpenPGP v4, HMAC-SHA1 (коллизии на него не влияют, он всё ещё используется в TOTP и некоторых старых протоколах) и унаследованные сертификаты. Считайте его допустимым только там, где атакующий никак не может влиять на хешируемые данные.