Da hast du mal total die falschen Befehle drin.
So müsste das richtig sein:
PHP Code:
$updt = "UPDATE users SET user_firstlogin='1' WHERE username='$login' AND user_password='$password'";
Ja, man sollte den Leute nichts vorkauen, aber das ist ein Aufwand von null.
Btw. ich würde das Zeug mit mysql_real_escape_string jetzt nicht unbedingt als sicher einordnen,
du solltest dir vielleicht mal
PDO ansehen.