El guión ("script") update.php es accesible para todos sin comprobar la autenticación, lo que es un riesgo de seguridad. Debe cambiar el valor de $update_free_access en su archivo settings.php para que sea otra vez FALSE.