Las variables entre comillas simples no se convierten a su valor... tiene que ser:
Código PHP:
<?php include($pagina); ?>
Aparte de esto, es una muy mala práctica de seguridad no comprobar los datos que vienen del navegador. Antes de seguir busca en el foro por seguridad y encontraras muchas referencias. Creo que todos los que ayudamos respondiendo en temas como este deberiamos estar más atentos a este tema ya que puede llevar muchos disgustos...