sourceforge.jp のウェブスペースで PHP のセッションファイルがいつまでも消えないと思ったら、session.gc_probability が 0 だった。
0/100 だから、そりゃ、ガベージコレクトされないわ。
ディレクトリのパーミッションを変えてみたりとかしてたけど、php -i を先に確認するべきだった。