In URLs werden Zeichen nach der Nummer in der Ascii-Tabelle maskiert.
Das ist bei "&" der Wert dezimale Wert 38. Dieser Wert muß aber Hexdezimal angegeben werden und das ist dann 2x16 + 1x6= 26.
Die Schreibweise des Zeichens in der URL ist dann %26.
Durch das "%" wird signalisiert, daß es sich um eine Maskierung handelt. (Siehe Thema Internationlisierung im Selfhtml)