Podrías hacer lo siguiente:

 - Obtener las líneas del texto separando el mismo por saltos de líneas (`eg: \n`).
 - Iterar el arreglo de líneas, y a cada línea, aplicarle la limpieza que fuera necesaria (`ej: htmlspecialchars($texto);`) y englobar el texto resultante entre `<p></p>`. 
 - Luego que unimos todas las líneas y listo.

###Ejemplo:

    <?php

    $texto = "Hola!\n\r\n\rQuiero saber mas sobre el producto.<script src=\"https://dangerhost.com/malware.js\"></script>\n\r\n\rSaludos.";
    $lineas = explode("\n", $texto);

    $parrafos = array_map(function ($linea) {
        $texto = trim($linea);
        // Si el parrafo esta vacio
        if (!$texto) return '';
        // Escapamos los caracteres HTML
        $texto = htmlspecialchars($texto);
        // Agregamos los tag <p>
        return '<p>' . $texto . '</p>' . "\n";
    }, $lineas);

    // Unimos los parrafos
    $html = implode('', $parrafos);
    echo $html;

Resultado:

    <p>Hola!</p>
    <p>Quiero saber mas sobre el producto.&lt;script src=&quot;https://dangerhost.com/malware.js&quot;&gt;&lt;/script&gt;</p>
    <p>Saludos.</p>

<kbd>[`Demo`](http://sandbox.onlinephpfunctions.com/code/dc97494da371f39582bf0757d087c00ccd6cc849)</kbd>

---

###Ejemplo alternativo:

    <?php
    
    $mensaje = "Hola!\n\r\n\rQuiero saber mas sobre el producto.<script src=\"https://dangerhost.com/malware.js\"></script>\n\r\n\rSaludos.";
    $lineas = explode("\n", $mensaje);
    $html = '';
    
    foreach($lineas as $linea) {
        $texto = trim($linea);
        // Si el text esta vacio
        if (!$texto) continue;
        // Escapamos los caracteres HTML
        $texto = htmlspecialchars($texto);
        // Agregamos los tag <p>
        $html .= '<p>'.$texto.'</p>'."\n";
    }
    echo $html;


---
###Referencias:

 - [`explode`](https://www.php.net/manual/es/function.explode.php): Divide un `string` en varios `string`
 - [`array_map`](https://www.php.net/manual/es/function.array-map.php): Aplica la función a los elementos de los `arrays` dados
 - [`implode`](https://www.php.net/manual/es/function.implode.php): Une elementos de un `array` en un `string`