> с какого перепугу валидный?
> $email_from = '"attacker\" -oQ/tmp/ -X/var/www/cache/phpcode.php  some"@email.com';
> var_dump(filter_var($email_from, FILTER_VALIDATE_EMAIL));
> выдаст false

С такого, что валидность обычно таки определяетcя "общепризнанным" RFC, а не конкретной реализацией, не имеющей к этому самому RFC никакого отношения.

Да и в доке вроде как говорится о
http://php.net/manual/en/filter.filters.validate.php
> http://php.net/manual/en/filter.filters.validate.php
> his validates e-mail addresses against the syntax in RFC 822, -->with the exceptions<-- that comments and whitespace folding and dotless domain names are not supported.