Как выходят обновления?

Из панели. Раздел «Обновления» спрашивает сервер выпусков, показывает, что именно изменится, и ставит обновление по кнопке — доступ к файлам сайта для этого не нужен.

Каждая поставка подписана ключом разработчика, а открытый ключ лежит внутри самой системы. Подменённый адрес или чужой архив она не поставит, и пустой ключ запрещает обновления совсем, а не отключает проверку.

Перед установкой сверяется опись файлов с их контрольными суммами: видно, что устарело, что правили вы сами (такое не трогаем) и что убрано в новой версии. Дальше идут проверки готовности — версия PHP, расширения, права, место на диске, миграции, свежесть резервной копии.

На время замены файлов сайт закрывается: между первым файлом и последним он работал бы на смеси старого и нового кода. Любое обновление откатывается одним действием.

Нет интернета — поставка ставится файлом с диска. Адрес сервера выпусков задаётся в настройках, и пока он пуст, система наружу не ходит вовсе.