Fossi in te non metterei il $_GET nella clausola del Sql. Dovresti fare un controllo di validità del dato per ovviare la sql injection.