$s = '123456789';
$s[4] = $s[5] = $s[6] = '*';
echo $s;
$s = '123456789';
$s = substr_replace($s, '***', 4, 3);
echo $s;
$s = 'абвгдеёжз';
$s = mb_substr($s, 0, 4, 'UTF-8') . '***' . mb_substr($s, 7, null, 'UTF-8');
echo $s;
Последний вариант необходим, если символ может быть длиннее 1 байта.