в этом случий не пройдешь проверку file_exists, хотя если подумать.. file_exists пропускает диры, то есть file_exists('/etc/') вернет true.. *scratch*

для обхода file_exists Нужно указать диру, так как в других папках нету thumb.php, а для инклуда нужен файл, насколько я понимаю это тупик