Komentář: Re: Chyba v zabezpečení

Ano, mělo by to zablokovat i zadávání adres, pokud budete používat stejnou proměnnou pro ten include (nejlépe ještě ./ před adresu).

Tedy po ošetření kódem výše na Vámi zvoleném místě použijete:
if (!is_file('./'.$_GET['page'].'.php'))
  {exit;}
include './'.$_GET['page'].'.php';