デフォルトのphp.iniの設定では、セッションの保持時間は24分だそうです。
さらにセッションが削除されるタイミングは１００分の１だそうで、１００回アクセスに１回のタイミングで２４分すぎたセッションファイルを削除するとのこと。
長時間セッションを保持しなければならないようなプログラムの場合は注意しなくては。
php.iniに以下を設定
session.gc_maxlifetime = 14400
session.gc_divisor = 1000
session.gc_probability = 1
これで１０００分の１の確率で、２４０分過ぎたファイルを削除するようになる。
参考サイト
ガベージコレクション（GC）をCakePHPで試してみる | Structured-P