Fai un pò di debug inserendo degli alert("nomeVariabile") prima di ogni funzione, e vedi che variabili gli arrivano e con che valore...
Probabilmente c'è qualche variabile non settata inizialmente, con il primo click si setta, e poi tutto comincia a funzionare....

php.html.it/guide/lezione/2997/pericoli-in-agguato-sui-file-di-sessione/

le sessioni PHP vengono propagate tramite il già citato SID, stringa "univoca" che identifica una data sessione, puntando il file di sessione sul server Web. La sicurezza dei file di sessione diviene a questo punto un problema sistemistico: è necessario configurare il server in modo che nessuno possa accedere da remoto a tali file e che nessuna applicazione "estranea" possa aprirli in lettura e/o scrittura.