vom Prinzip her ist so ein Captcha immer dreitilig.
1. Das Formular anzeigen (z.b. login.php)
2. Ein Bild erzeugen und in 1 anzeigen (get_captcha.php)
3. Die Formulareingaben auswerten (z.b. take_login.php)
Ok Teil 1 und 2 sind soweit gemeistert. Im Teil 3 habe ich auch schon ein Ansatz und könnte den meiner Meinung auch umsetzen, nur ist dieser Sicherheitstechnisch nicht ganz ok. Ich würde die Session Variable ---> $_SESSION['captcha-code'] per $_Post an die take_login.php senden. Doch wie du schon am Anfang meintest:
Warum interne Session-Daten nach extern an ein anders Script weitergeben?