Dovrebbe bastare appunto '& ', al limite con un backslash di fronte all'& a seconda del dialetto di regex...