Где хранится сессия в WordPress?

Как WordPress хранит куки (на стороне клиента, как указал @birgire): https://codex.wordpress.org/WordPress_Cookies

Сомневаюсь, что это будет работать с отдельного поддомена, так как домен куки обычно полностью соответствует siteurl WordPress (если я ошибаюсь, поправьте меня).

Если вы хотите реализовать это с другим приложением на том самом домене, вам нужно использовать функцию wp_validate_auth_cookie() (в файле wp-includes/pluggable.php) — она проверяет $_COOKIES, генерирует хеш из записи пользователя в базе данных и сравнивает его с куки. Если они совпадают, вы получаете ID пользователя.

Сессии WordPress хранятся в соответствии с настройками PHP, по умолчанию — в файловой системе. Проверьте параметр session.save_path в вашем файле PHP.ini. Обратите внимание, что WordPress не создает сессию, пока пользователь не войдет в систему.

Если ваше "внешнее" приложение находится на том же сервере и работает на PHP, вы можете просто открыть ту же сессию, используя:

session_id($session_token);
session_start();