Il codice che hai postato viene portato a esempio di come NON impostare un include nei corsi di PHP sulla sicurezza.
Devi assolutamente fare un controllo su qualsiasi variabile che ti arriva in GET (e in generale su qualsiasi variabile che ti arriva da un utente), altrimenti ti esponi a grossi rischi.