Ini tidak mungkin di MySQL. Anda dapat membuat sejumlah parameter yang diperlukan dan melakukan UPDATE ... IN (?,?,?,?). Ini mencegah serangan injeksi (tetapi Anda tetap harus membuat ulang kueri untuk setiap jumlah parameter).
Cara lain adalah dengan melewatkan string yang dipisahkan koma dan menguraikannya.