Bastava cercare la sintassi dell'update

http://dev.mysql.com/doc/refman/5.0/en/update.html

che richiede un solo set e un solo where. Eviterei inoltre di usare user e password come nomi dei campi visto che sono parole riservate di mysql.