А какая разница?
Он где-то там "в загашнике" хранит номер сессии.
Если обращения в течении лимита отсутствуют значит он отрубает сессию.
Соответственно он хранит ещё и время начала сессии и последнего обращения.
Плюс он хранит различные логи и пишет туда всякие действия.
На самом деле всё это может быть устроено иначе и он может слать время от времени пинги каждой сессии,
чтобы удостовериться что сессия актуальна.
Вариант продуманный в PHP - исключает создание 11111 сессий от одного пользователя.
А постольку поскольку сессию не отключают а например происходит "какой-то" разрыв, то сессии одного пользователя будут копиться.
А теперь представьте себе сайт с посещаемостью 1 000 000 человек + плюс каждый из них открывает новую сессию кликая на каждую страницу.
Если каждый просмотрит 10 страниц - это 10 000 000 сессий. А теперь добавьте что к MySQL базе обращается 10 000 сайтов, соответственно таблица
сессий получается 10 000 000 * 10 000 ...
Ну и каково MySQL искать в таком количестве "вашу" просроченную сессию, чтобы её отрубить? .