Penso di aver risolto il problema è che mi scordavo di mettere il metodo sessionCreated(). Dovevo fare così:
codice:
public final class SessionListener implements 
    HttpSessionListener {
    
    public void sessionDestroyed(HttpSessionEvent sessionEvent) {
        HttpSession sessione = sessionEvent.getSession();
        String user = (String) sessione.getAttribute("username");
        XmlManipulator logout = new XmlManipulator();
        logout.loginLogout(Config.PUBLIC_XML_DIR+"utentiRegistrati.xml", user);
    }
    
    public void sessionCreated(HttpSessionEvent sessionEvent) {
        
    }
}
Una distrazione del cavolo.