SQLITE supporta benissimo le subquery, quindi una cosa tipo

UPDATE table SET password = '$newpsw' WHERE id = ( SELECT id FROM table WHERE user = '$user' AND password = '$oldpsw' )

penso sia la soluzione piu' semplice

P.S. updatare una password in base all' id, pazzia, piu' facile fare frittate, tento gli id da 1 a 1000 su una form esterna e ti cambio le passwords a tutti gli utenti