↑
админ не должен был закрыть сессию. сессионная кука без флага httpOnly?