在台灣流通的部分中國製 Android 電視盒遭發現預載 XCPE 後門，台灣約 8.8 萬台裝置曾被觀測到。若家中機上盒品牌或來源不明，先中斷網路、記下型號與韌體版本，再聯絡賣家或製造商；Google 已協同夥伴關閉部分控制管道，但韌體內的惡意程式未必因此從裝置消失。Google威脅情報小組公布的XCPE調查指出，後門可在開機時從裝置韌體重新安裝。若你也想了解 Android 安全掃描能檢查哪些風險，可參考Play Protect與APK安裝提示的處理方式；這類掃描無法單獨排除韌體層問題。
先看品牌、型號和韌體資訊
目前公開資料沒有完整受影響品牌與型號名單，也沒有提供讓一般用戶自行輸入序號查詢的官方工具。可先查看機身底部標籤、外盒、購買紀錄及「設定」內的裝置資訊，記下品牌、型號、Android版本與韌體版本，再向原賣家或品牌客服確認是否屬於受影響批次，以及能否提供經驗證的韌體更新。若賣家無法說明實際製造商或韌體更新來源，應先停止連網並要求查證。若是由不明網站下載安裝檔造成的風險，和出廠韌體植入是不同狀況，可對照假冒Android APK的來源查核與帳號處理步驟。
懷疑受影響時怎麼處理
先拔除機上盒網路線，或在路由器暫停該設備的網路連線，暫時不要用它登入影音、電子郵件或其他帳號。接著把品牌、型號、韌體版本與購買證明提供給賣家或製造商，詢問是否有可驗證的韌體修復、換貨或回收方案。若無法確認設備來源，也沒有可信任的廠商支援，停止使用並更換為可查證來源、仍提供安全更新的產品。這類連網設備的更新驗證與網路隔離，也可參照家用邊緣裝置的安全檢查面向；該文整理的是一般設備管理原則，不是XCPE機型清單。
Google與合作機構已採取法律行動關閉XCPE控制伺服器與相關網域，並禁止涉事製造商製造搭載Google應用程式的認證裝置；TrendAI的調查則指出，受影響設備上的植入程式需要廠商處理或更換設備。這代表恢復原廠設定、刪除可見App或單次防毒掃描，都不能當成已清除的證明。資料的觀測期是2026年6月3日至10月1日，全球統計超過130萬台、涵蓋206種型號，研究方也註明資料間歇蒐集，實際數量可能更高。TrendAI觀測報告與公視對台灣約8.8萬台估值的報導呈現的是群體觀測結果，不等於每一台 Android 電視盒都受感染。PTT MobileComm的討論串引用公視新聞作為話題來源，留言並非另一份裝置統計。PTT討論串
常見問題
怎麼知道家裡的Android機上盒有沒有中毒？
目前公開報告沒有完整受影響型號清單，也沒有供消費者輸入序號的官方查詢工具。先記下機身品牌、型號與韌體版本，向賣家或製造商確認；外觀正常或掃描沒有警告，都不能單獨排除韌體後門。Google的XCPE調查
恢復原廠設定可以清除XCPE嗎？
不能把恢復原廠設定視為清除保證。Google指出部分XCPE元件位於韌體或OEM分割區，移除後可能在重新開機時再安裝；應先讓設備離線並詢問製造商是否有可驗證的修復方式，無法確認時停用或更換。Google對XCPE持續性的說明
參考來源
- Shutting the Door on the XCPE Botnet （Google Threat Intelligence Group） XCPE全球規模、韌體植入、持續性與協作中斷措施。
- TrendAI Research Helps Disrupt Botnet of More Than 1.3 Million Pre-Infected Set-Top Boxes （TrendAI） 觀測時段、裝置型號數與跨國裝置數。
- Android機上盒遭中國植入病毒 台灣估約8.8萬台設備受影響 （公視新聞網） 報導台灣約8.8萬台的估計與台灣資安專家建議。
- Android機上盒遭中國植入病毒 台灣8萬台 （PTT MobileComm） 工單指定的討論來源；串文引用公視新聞，留言不作感染統計依據。
