Recherche:

parce que là avec le test que tu as rajouté on peut faire $_GET['rub'] = 'membres' et $_GET['page'] = '../../../etc/fichier' et le visiteur voit le fichier "/etc/fichier.php"

tu testes uniquement si le fichier existe avant de l'inclure, ça évite juste une erreur si le fichier n'existe pas
si par exemple $_GET['rub'] contient "../../../etc/" le visiteur pourra voir tous...