Ипатьев

Сессии сами не создаются, их создает РНР при обращении к сайту.
Сколько обращений - столько сессий.

Соответственно, смотреть надо по двум направлениям
1. проверить, не долбит ли кто-то запросами, и заблокировать или ограничить, например использовать Rate Limit у NGINX
2. файловая система - самое убогое хранилище для сессий, и используется по умолчанию только потому, что для всех других нужно указывать параметры подключения. Соответственно, вместо файлов использовать базу данных.

Плюс надо смотреть по коду. Если сайт создает сессию на откровенно мусорный запрос, то, возможно, этого не стоит делать. Ну и нельзя сбрасывать со счетов гениальных скриптописателей, которые сами себе создают нагрузку на сайт. Не раз и не два я видел любителей инклюдить локальные файлы по HTTP.

Здесь, как всегда, набежала куча народу, которая слышала звон, да не знает где он. И думает, что php-fpm - это, видимо, такой типа модуль для nginx.

php-fpm, на данный момент - это единственный (ок, ок, из широко распространенных) вариант использовать РНР на веб-сервере. С любым сервером НТТР. И нет, php-fpm не имеет никакого отношения к Nginx, это совершенно отдельный менеджер процессов, который работает с любым веб-сервером.

Поэтому надо уточнить, не стоит ли он уже. Потому что устареший вариант конфигурации Апач + mod_php был объявлен нежелательным уже лет 5 тому назад. И хотя работать будет, но во-первых, говорит о квалификации установителя, а во-вторых, под большой нагрузкой будет ложиться. Поэтому желательно использовать именно php-fpm, а уж с Апачем или Энжинэксом - это скорее вопрос вкуса в данном случае.

Если же ожидается 10 пользователей в день, то без разницы, можно оставить как есть.