ご指摘ありがとうございます。
その問題が原因ではなかったようです。

まだ原因特定はできていませんが、
高セキュリティを求められているプロダクトではない為、
CAKE_SECURITYをmiddleに変更して
セッションIDの書き換えを発生しないようにして様子を見ます。