Declaraciones preparadas de PHP... ¿Vincular variable como rango numérico en REGEXP?

Los marcadores de posición solo se pueden usar donde puede aparecer un valor, no incrustado en cadenas. Prueba:

$query = "SELECT * FROM `mytable` WHERE `file` REGEXP CONCAT('[', :val, '-9]')";