Com essa opção ligada é possível que o usuário defina variáveis em seu código no momento da requisição, e portanto o seu código deveria ser escrito com **muito cuidado** (o que não acontece muito...). Um exemplo de código vulnerável: <?php // define $authorized = true somente se o usuário for autenticado if (authenticated_user()) { $authorized = true; } // Porque nós não inicializamos $authorized como false, ela pode ser // definida através de register_globals, como usando GET auth.php?authorized=1 // Dessa maneira, qualquer um pode ser visto como autenticado! if ($authorized) { include "/highly/sensitive/data.php"; } ?> Caso o usuário entre com a url `www.seudominio.com.br/arquivo.php?authorized=1`<br> Então o PHP irá interpretar o código da seguinte forma: <?php // Nesse ponto ele ira transformar o $_GET na respectiva variável automaticamente. $authorized=1 // Essa verificação perde o sentido uma vez que a variável já está como true if (authenticated_user()) { $authorized = true; } // Como true e 1 tem o mesmo peso na verificação, ou seja ambos são equivalentes // Nesse ponto a verificação passaria a exibir os dados para qualquer um que entresse // Pela URL citada acima. if ($authorized) { include "/highly/sensitive/data.php"; } ?> Referência e mais comentários em http://php.net/manual/pt_BR/security.globals.php