**password_hash()** crea un nuevo hash de contraseña usando un algoritmo de hash fuerte de único sentido. 

Si usas 

    password_hash("hash", PASSWORD_DEFAULT);

Estarás usando el algoritmo bcrypt que está predeterminado a partir de PHP 5.5.0

Por defecto es suficientemente seguro, aunque hay una manera mejor o más segura. A partir de PHP 7.2, Argon2 es parte de un método recientemente implementado (hashing) que ganó la competencia [Password Hashing][1], que ofrece un método más robusto, pero se deberá usar PHP 7.2 en adelante.

Su [wiki][2] dice:

> Argon2, es el algoritmo para generar hash de contraseñas recomendado
> por la Competencia Password Hashing, es un algoritmo moderno para
> contraseñas hash seguras. Argon2 aborda varias desventajas clave de
> los algoritmos existentes en el sentido de que está diseñado para una
> tasa de llenado de memoria más alta, y usa múltiples unidades de
> computación efectivas a la vez que proporciona defensa contra ataques
> de compensación. A diferencia de Bcrypt, que solo requiere un factor
> de costo único, Argon2 se parametriza mediante tres factores
> distintos:
> 
> - Un costo de memoria que define el uso de memoria del algoritmo
> - Un costo de tiempo que define el tiempo de ejecución del algoritmo y el número de iteraciones.
> - Y un factor de paralelismo, que define la cantidad de hilos paralelos

Para mas informacion puedes revisar el siguiente link: 

https://framework.zend.com/blog/2017-08-17-php72-argon2-hash-password.html

Si actualizar a PHP 7.2 no es una opción, lo que se puede hacer es incrementar el costo .

El costo por default usando BCRYPT es igual a 10, al aumentar el parámetro de costo en 1, se duplica el tiempo necesario para calcular el valor de hash.
El parámetro de costo es el logaritmo (base-2) del recuento de iteraciones, lo que significa:

    $iteraciones = 2 ^ $costo;

Por ejemplo:

    $hash = password_hash($password, PASSWORD_BCRYPT, ["cost" => 11]);

  [1]: https://password-hashing.net/
  [2]: https://wiki.php.net/rfc/argon2_password_hash