Saludos
Te recomiendo manejar esa concatenacion en una variable aparte y no dentro de la sentencia
Código PHP:
$img=$tdir.$prefijo."_".$url;
$username=$_SESSION["k_username"];
mysql_query("UPDATE INTO usuarios set thumb = '$img' WHERE usuario = '$username' ", $db);