Это потому, что для обработчика http для доступа к Session
необходимо явно реализовать интерфейс IRequiresSessionState
.
Имейте в виду, что если вы сделаете это, будет неявная блокировка объекта сеанса, и вы не сможете одновременно обрабатывать несколько обработчиков в одном и том же состоянии сеанса.
Существует также интерфейс IReadOnlySessionState
для доступа к состоянию сеанса только для чтения.