よーするに今回の例であれば、 “修正” してしまうと今まで受理されなかった入力まで受け入れるようになってしまうので、もし一部を手動でパースしたり部分文字列を弄ったりなどのコードがあると当然そこが壊れるということになり、ダウンストリームの実装に DoS 攻撃や、 FFI が絡むなら ACE 脆弱性を導入することになりかねない
まあ「正しかろうが間違っていようが、修正により脆弱性 (クラッシュの可能性含む) が導入されるようではサーバ実装に使われる言語として困る」というのはまったくもって合理的な判断だと思う (それが好きか嫌いかというのは別の話として)
たとえば RFC 3339 の日時フォーマットで言うなら、年月日と時間を区切る T が大文字である必要があるか小文字でもいいのか、あるいは T 以外の文字でもいいのか、みたいなこととか。
ISO8601が間違ってることなんて知ってるってことらしいのだわ
https://www.php.net/manual/ja/class.datetimeinterface.php#datetime.constants.iso8601