¿Los servidores modernos son susceptibles de ataques de división HTTP?

Esto no es un problema con su navegador, sino un problema con la función de encabezado de PHP que es inmune a los ataques de división de HTTP. Lo mismo ocurre con la llamada a la función set-cookie.

Puede leer más sobre esto aquí enlace

Un breve extracto:

 [...] Although response splitting is not specific to PHP, the PHP interpreter 
contains protection against the attack since version 4.4.2 and 5.1.2. [1]

No parece un problema de navegador: si el servidor acepta una nueva línea de entrada y lo escupe directamente en un encabezado HTTP sin escapar, sería una vulnerabilidad del lado del servidor.

Este ataque particular de división de encabezado ahora se mitiga en el propio PHP. La función header() le dará un error si pasa una cadena con una nueva línea.

Los ataques de división HTTP se centran en el lado del servidor como consecuencia de un mal análisis de entrada y funciones vulnerables. Para un navegador es imposible adivinar cuando un encabezado es malo o no. Estos son enviados por el servidor.

Probablemente lea esto División de respuesta HTTP OWASP

  

La división de la respuesta HTTP ocurre cuando:   Los datos ingresan a una aplicación web a través de una fuente no confiable, con mayor frecuencia una solicitud HTTP.   Los datos se incluyen en un encabezado de respuesta HTTP enviado a un usuario web sin ser validado para caracteres maliciosos.