hai verificato che $_SESSION['level'] valga effettivamente 2 numerico e non '2' (carattere 2)?

Per essere sicuro quando assegni level alla variabile di sessione fallo tramite la funzione intval.

cioè

$_SESSION['level'] = intval($level);