Сначала дернуть из базы пользователя по юзернейму (по паролю нельзя, он хеширован)
Если запись нашлась – хорошо, пользователь есть
SELECT * FROM users WHERE username=:username
Получаем объект/массив с данными пользователя
Примерно такой:
$user = [
'id' => 1,
'username' => 'vasya',
'password' => 'длинный хеш'
]
Потом проверяем старый пароль из формы, правильный ли
password_verify($old_password, $user['hash'])
Если прошли проверку, значит логин и пароль вбили правильно, можно менять
Делаем хеш нового пароля
$hash = password_hash($new_password, PASSWORD_DEFAULT);
И закидываем в базу
UPDATE users SET password=:hash WHERE id=$user['id']