Вы можете сделать это с помощью простого правила, такого как:
SecRule REQUEST_LINE "@rx sm6[0-9]{1,}\.php" \
"phase:2,block,severity:2,msg:'Blocking access to sm6#.php files.'"
В этом случае {1,} означает не менее 1 цифры (после цифры 6) в имени файла. Вы можете изменить его на 2, 3, 4 или даже 100, если хотите. Или ограничьте его минимум 2 цифрами и максимум 6 цифрами, используя {2,6}. Он использует сопоставление с шаблоном PCRE, так что решать вам!