Обычно они хранятся в /tmp. Вы также можете проверить session.save_path в php.ini (или использовать phpinfo();) для более подробной информации.
Иногда они также хранятся в базе данных. Возможно, вы захотите проверить, установлено ли session.save_handler на files.