Das scheint in HttpHandler-Kreisen so üblich, aber es gibt eine Abhilfe:

Die Klasse muss das Interface IRequiresSessionState implementieren.
Das ist garnicht schwierig, da die Implementierung keinen weiteren Code erfordert. Einfach die Klasse folgendermaßen definieren:

public class MyHandler : IHttpHandler, IRequiresSessionState

Nachtrag:
Damit es funktioniert, sollte man noch System.Web.SessionState includen:

using System.Web.SessionState;