Откуда такая категоричность? Всё зависит от версии, на каких-то версиях можно легко заинклудить удалённый файл при allow_url_include=Off.
Универсального PoC у меня нет.
От версии чего это зависит?
И пример желательно
PS Только не тот который в РОА, пожалуйста, а что-нибудь своё