$variabile = str_replace("&","_",$variabile);
oppure
$variabile = str_replace("&","\&",$variabile);

\ dovrebbe essere interpretato come carattere di escape...