¿Dónde se almacena la sesión en WordPress?

Cómo WordPress almacena cookies (del lado del cliente, como mencionó @birgire): https://codex.wordpress.org/WordPress_Cookies

Dudo que esto funcione desde un subdominio separado, ya que el dominio de la cookie generalmente está completamente calificado según la siteurl de WordPress (si alguien sabe lo contrario, que me corrija).

Si lo hicieras con otra aplicación en el mismo dominio, necesitarías usar la función wp_validate_auth_cookie() (en wp-includes/pluggable.php), que examina $_COOKIES, genera un hash a partir del registro del usuario en la base de datos y verifica si coincide con la cookie. Si coincide, obtendrás su ID de usuario.

Las sesiones de WordPress se almacenan según la configuración de PHP, por defecto en el sistema de archivos. Revisa tu archivo PHP.ini para la configuración session.save_path. Debes tener en cuenta que WordPress no crea una sesión a menos que el usuario inicie sesión.

Suponiendo que tu aplicación "externa" esté en el mismo servidor y se ejecute como PHP, podrías simplemente abrir la misma sesión usando:

session_id($session_token);
session_start();