Instale / ative o mod_status, configure-o para permitir o acesso a partir do seu URL e acesse o servidor com <server-ip>/server-status
Você deverá ver uma lista de todas as conexões ativas atuais do cliente, incluindo vhost e caminho.
O IIRC tinha esse problema quando um rastreador mal configurado acessava um site que usava um script php não adequadamente implementado que manipulava imagens. Ele tentou acessar todas essas imagens como se fossem links causando grande carga e muitas conexões abertas.