Problem z punktu widzenia bezpieczeństwa wynika stąd, że użycie przez atakującego tego samego identyfikatora, co prawowity użytkownik, może prowadzić do nieuprawnionego dostępu do aplikacji i wykonania operacji w jego imieniu. Niestety wbudowany mechanizm PHP pozostawia w tym względzie wiele do życzenia, co przyznaje nawet manual, dlatego to na programiście ciąży obowiązek odpowiedniego zabezpieczenia aplikacji.

Można wyróżnić dwie podstawowe grupy ataków związanych z sesjami : przechwycenie sesji (ang. Session Hijacking) oraz wymuszenie sesji (ang. Session Fixation).