<?  
$file=$QUERY_STRING;    
if (strlen($file)<10){include("$file.html");}    
?>  

это потенциальная дыра.  
есть дыра - значит кто нибудь обязательно сломает.  
Как такое можно взломать?
И возможно ли вообще?