引用符付きの文字列を送信するPythonpymySQL

プレースホルダーを使用できます。その場合、mysqlドライバーはクエリをエスケープします：

cur.execute('UPDATE connections SET cmd=%s, client_new=1 where ip=%s', (command, ip))