А какая разница? 
Он где-то там "в загашнике" хранит номер сессии. 
Если обращения в течении лимита отсутствуют значит он отрубает сессию. 
Соответственно он хранит ещё и время начала сессии и последнего обращения. 
Плюс он хранит различные логи и пишет туда всякие действия.
На самом деле всё это может быть устроено иначе и он может слать время от времени пинги каждой сессии, 
чтобы удостовериться что сессия актуальна. 
Вариант продуманный в PHP - исключает создание 11111 сессий от одного пользователя.
А постольку поскольку сессию не отключают а например происходит "какой-то" разрыв, то сессии одного пользователя будут копиться. 
А теперь представьте себе сайт с посещаемостью 1 000 000 человек + плюс каждый из них открывает новую сессию кликая на каждую страницу.
Если каждый просмотрит 10 страниц - это 10 000 000 сессий. А теперь добавьте что к MySQL базе обращается 10 000 сайтов, соответственно таблица 
сессий получается 10 000 000 * 10 000 ... 
Ну и каково MySQL искать в таком количестве "вашу" просроченную сессию, чтобы её отрубить?   
 .